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习 兴 趣 , 提 高 学 生 的 工程 实践 能 力 。 
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随 着 我 国 改革 开放 的 进一步 深化 ,高 等 教育 也 得 到 了 快速 发 展 ,各 地 高 校 紧 密 结合 地 方 
经 济 建设 发 展 需要 ,科学 运用 市 场 调节 机 制 ,加 大 了 使 用 信息 科学 等 现代 科学 技术 提升 . 改 
造 传统 学 科 专 业 的 投入 力度 ,通过 教育 改革 合理 调整 和 配置 了 教育 资源 ,优化 了 传统 学 科 专 
业 , 积 极为 地 方 经 济 建设 输送 人 才 ,为 我 国 经 济 社会 的 快速 、 健 康 和 可 持续 发 展 以 及 高 等 教 
育 自身 的 改革 发 展 做 出 了 巨大 贡献 。 但 是 ,高 等 教育 质量 还 需要 进一步 提高 以 适应 经 济 社 
会 发 展 的 需要 ,不 少 高 校 的 专业 设置 和 结构 不 尽 合理 ,教师 队伍 整体 素质 吸 待 提高 ,人 才 培 
养 模式 ,教学 内 容 和 方法 需要 进一步 转变 ,学 生 的 实践 能 力 和 创新 精神 亚 待 加 强 。 

教育 部 一 直 十 分 重视 高 等 教育 质量 工作 。2007 年 1 月 ,教育 部 下 发 了 《关于 实施 高 等 
学 校本 科教 学 质量 与 教学 改革 工程 的 意见 ), 计 划 实 施 “ 高 等 学 校本 科教 学 质量 与 教学 改革 
工程 (简称 “质量 工程 ”) ,通过 专业 结构 调整 课程 教材 建设 实践 教学 改革 、 教 学 团队 建设 
等 多 项 内 容 , 进 一 步 深化 高 等 学 校 教 学 改革 ,提高 人 才 培 养 的 能 力 和 水 平 ,更 好 地 满足 经 济 
社会 发 展 对 高 素质 人 才 的 需要 。 在 贯彻 和 落实 教育 部 “质量 工程 ”的 过 程 中 ,各 地 高 校 发 挥 
师资 力量 强 、 办 学 经 验 丰富 ,教学 资源 充裕 等 优势 ,对 其 特色 专业 及 特色 课程 ( 群 ) 加 以 规划 、 
整理 和 总 结 ,更 新 教学 内 容 、 改 革 课 程 体系 ,建设 了 一 大 批 内 容 新 、 体 系 新 、 方 法 新 、 手 段 新 的 
特色 课程 。 在 此 基础 上 ,经 教育 部 相关 教学 指导 委员 会 专家 的 指导 和 建议 ,清华 大 学 出 版 社 
在 多 个 领域 精 选 各 高 校 的 特色 课程 ,分 别 规划 出 版 系列 教材 ,以 配合 “质量 工程 ”的 实施 , 满 
足 各 高 校 教学 质量 和 教学 改革 的 需要 。 

为 了 深入 贯彻 落实 教育 部 (关于 加 强 高 等 学 校本 科教 学 工作 ,提高 教学 质量 的 若干 意 
见 ) 精 神 , 紧 密 配合 教育 部 已 经 启动 的 “高 等 学 校 教学 质量 与 教学 改革 工程 精品 课程 建设 工 
作 ”, 在 有 关 专 家 教授 的 倡议 和 有 关 部 门 的 大 力 支持 下 ,我 们 组 织 并 成 立 了 “清华 大 学 出 版 
社 教材 编审 委员 会 "(以 下 简称 “ 编 委 会 ”) , 旨 在 配合 教育 部 制定 精品 课程 教材 的 出 版 规划 ， 
讨论 并 实施 精品 课程 教材 的 编写 与 出 版 工作 。“ 编 委 会 "成员 皆 来 自 全 国 各 类 高 等 学 校 教学 
与 科研 第 一 线 的 骨干 教师 ,其 中 许多 教师 为 各 校 相关 院 、 系 主管 教学 的 院 长 或 系 主任 。 

按照 教育 部 的 要 求 ,“ 编 委 会 一致 认为 ,精品 课程 的 建设 工作 从 开始 就 要 坚持 高 标准 、 
严 要 求 , 处 于 一 个 比较 高 的 起 点 上 。 精 品 课程 教材 应 该 能 够 反映 各 高 校 教学 改革 与 课程 建 
设 的 需要 ,要 有 特色 风格 、 有 创新 性 (新 体系 、 新 内 容 、 新 手段 ,新 思路 ,教材 的 内 容 体 系 有 和 较 
高 的 科学 创新 ,技术 创新 和 理念 创新 的 含量 ) .先进 性 (对 原 有 的 学 科 体系 有 实质 性 的 改革 和 
发 展 ,顺应 并 符合 21 世纪 教学 发 展 的 规律 ,代表 并 引领 课程 发 展 的 趋势 和 方向 ) 、 示 范 性 ( 教 
材 所 体现 的 课程 体系 具有 较 广泛 的 辐射 性 和 示范 性 ) 和 一 定 的 前 脆性。 教材 由 个 人 申报 或 
各 校 推荐 (通过 所 在 高 校 的 “ 编 委 会 ”成 员 推荐 ) ,经 “ 编 委 会 ”认真 评审 ,最 后 由 清华 大 学 出 版 
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社 审 定 出 版 。 
目前 ,针对 计算 机 类 和 电子 信息 类 相关 专业 成 立 了 两 个 “ 编 委 会 ”, 即 “清华 大 学 出 版 社 
计算 机 教材 编审 委员 会 "和 “清华 大 学 出 版 社 电子 信息 教材 编审 委员 会 "。 推 出 的 特色 精品 


教材 包括 : 

(1) 21 世纪 高 等 学 校规 划 教 材 * 计算 机 应 用 一 一 高 等 学 校 各 类 专业 ,特别 是 非 计算 机 
专业 的 计算 机 应 用 类 教材 。 

(2) 21 世纪 高 等 学 校规 划 教材 ， 计算 机 科学 与 技术 一 一 高 等 学 校 计算 机 相关 专业 的 
教材 。 


(3) 21 世纪 高 等 学 校规 划 教 材 . 电子 信息 一 一 高 等 学 校 电子 信息 相关 专业 的 教材 。 
(4) 21 世纪 高 等 学 校规 划 教材 。 软件 工程 一 一 高 等 学 校 软件 工程 相关 专业 的 教材 。 
(5) 21 世纪 高 等 学 校规 划 教材 .信息 管理 与 信息 系统 。 

(6) 21 世纪 高 等 学 校规 划 教 材 。 财经 管理 与 应 用 。 

(7) 21 世纪 高 等 学 校规 划 教材 。 电 子 商务 。 

(8) 21 世纪 高 等 学 校规 划 教材 物 联网 。 


清华 大 学 出 版 社 经 过 三 十 多 年 的 努力 ,在 教材 尤其 是 计算 机 和 电子 信息 类 专业 教材 出 
版 方面 树立 了 权威 品牌 ,为 我 国 的 高 等 教育 事业 做 出 了 重要 贡献 。 清 华 版 教材 形成 了 技术 
准确 内容 严谨 的 独特 风格 ,这 种 风格 将 延续 并 反映 在 特色 精品 教材 的 建设 中 。 


清华 大 学 出 版 社 教材 编审 委员 会 
联系 人 : 魏 江 江 
E-mail: weijj@ tup. tsinghua. edu. cn 





TCP/IP 原理 是 网 络 工程 专业 的 主干 专业 课程 内 容 ,同时 也 是 计算 机 应 用 相关 学 科 专 
业 学 生 深 入 学 习 计算 机 网 络 技术 的 主要 内 容 。 实 现 掌 握 TCP/IP 协议 族 中 协议 工作 原理 这 
一 学 习 目 标的 主要 途径 需要 通过 网 络 协议 分 析 来 达成 。 针 对 协议 分 析 具 有 很 强 的 理论 性 和 
实践 性 的 特点 ,同时 考虑 到 计算 机 及 相关 专业 的 本 科教 育 多 强调 应 用 能 力 的 培养 ,编者 旨 在 
将 本 书 编写 成 为 一 种 注重 网 络 协议 分 析 实 验 及 操作 ,把 TCP/IP 原理 的 理论 学 习 和 实验 相 
互 融合 的 教材 。 

本 书 按照 TCP/IP 协议 框架 的 层次 结构 对 网 络 互 连 中 的 主要 协议 进行 分 析 , 采 用 实例 
分 析 的 方法 学 习 TCP/IP 基本 原理 。 选 取 TCP/IP 协议 框架 中 每 一 层 的 主要 协议 ,包括 链 
路 层 以 太 网 和 IEEE 802. 3、ARP、ICMP.IP、RIP、OSPF、UDP、TCP、DNS、DHCP、SNMP、 
Telnet HTTP 和 FTP 等 协议 ,由 下 而 上 地 设计 了 26 个 实验 ,利用 在 网 络 仿真 环境 和 真实 
环境 中 捕获 协议 数据 包 , 将 抽象 的 网 络 协 议 的 PDU 构成 和 工作 原理 通过 实验 直观 形象 地 
展示 出 来 ,使 学 生 能 将 理论 与 实践 结合 起 来 ,加 深 对 网 络 协议 的 理解 并 掌握 协议 分 析 的 基本 
方法 ， 

本 书 编写 上 特点 突出 ,强化 了 在 益 述 TCP/IP 协议 概念 和 原理 的 基础 上 动手 实践 的 内 
容 。 首 先是 重 构 实 验 内 容 , 把 TCP/IP 原理 课程 中 对 TCP/IP 各 个 协议 工作 原理 的 学 习 , 用 
当今 主要 的 网 络 协议 学 习 工 具 和 协议 分 析 工 具 进 行 教学 内 容 和 实验 形式 的 重新 设计 ,通过 
实验 强化 学 生 的 网 络 工程 实践 能 力 。 其 次 ,融合 了 多 种 当今 主流 的 网 络 协议 分 析 和 学 习 工 
具 ,综合 国内 外 相关 教程 的 内 容 , 可 以 使 学 生 以 不 同 的 方式 ,从 不 同 的 角度 来 理解 和 掌握 协 
议 原理 ,获得 更 大 的 学 习 自 主 性 和 积极 性 。 实 验 既 可 以 在 真实 网 络 设 备 上 进行 ,也 可 以 在 虚 
拟 或 仿真 环境 中 完成 ,使 学 生 即 使 在 课余 时 间 也 可 以 自己 学 习 , 更 好 地 提高 学 习 效果 。 第 三 
是 改变 网 络 协议 的 讲解 形式 ,采用 基于 协议 分 析 工具 的 讲解 方式 ,让 学 生 在 实际 的 网 络 环境 
中 通过 再 现 网 络 协议 工作 过 程 和 解析 网 络 协 议 ,真正 做 到 “做 中 学 ”, 全 面 彻底 改变 学 生死 记 
硬 背 网 络 协议 的 学 习 方 式 , 让 网 络 协议 的 工作 过 程 变 得 触手 可 及 ,大 大 地 提高 了 学 生 的 学 习 
兴趣 和 学 习 效 果 , 有 效 地 提高 学 生 的 网 络 工程 实践 能 力 和 应 用 能 力 。 第 四 是 教材 中 对 路 由 
器 和 交换 机 等 网 络 设备 有 要 求 的 实验 都 可 在 仿真 条 件 下 进行 ,因此 即便 实验 条 件 不 够 完备 ， 
也 可 以 完成 相关 的 实验 教学 。 

本 书 适合 已 经 学 习 过 计算 机 网 络 基础 课程 且 已 掌握 计算 机 网 络 基 本 体系 结构 ,需要 进 
一 步 学 习 掌握 具体 的 网 络 协议 工作 原理 的 读者 使 用 。 书 中 各 章 安排 的 实验 按 学 生 实验 指导 
书 的 形式 编写 ,能 够 直接 满足 教学 需要 ,因而 也 适合 作为 高 校 计 算 机 网 络 原理 教学 中 协议 分 
析 实 验 课程 的 教材 使 用 。 

全 书 共 8 章 。 除 第 1 章 外 ,其 余 各 章 的 基本 结构 都 按照 先 介绍 基本 概念 和 理论 ,再 安排 
实验 内 容 的 方式 编排 ,实验 内 容 上 覆盖 了 各 章 主要 的 知识 点 。 第 1 章 为 TCP/IP 协议 概述 ， 
介绍 TCP/IP 协议 分 层 、 封 装 与 分 用 的 概念 .RFC、 应 用 编程 的 套 接 字 和 Libpcap 编程 接口 。 
第 2 章 为 协议 分 析 和 学 习 工 具 , 介 绍 协议 分 析 器 的 基本 原理 和 用 途 、Cisco Packet Tracer、 
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Wireshark、GNS3、Sniffer pro 和 科 来 网 络 分 析 系 统 的 特点 和 用 法 ,实验 内 容 安 排 了 Cisco 
Packet Tracer、Wireshark、GNS3 的 使 用 方法 学 习 。 第 3 章 为 链 路 层 协 议 分 析 , 介 绍 链 路 层 
的 作用 、 以 太 网 的 帧 结构 、SLIP 和 PPP 帧 结构 、MTU 和 环 回 接口 ,实验 内 容 安排 了 DIX 
Ethernet V2 帧 ITEEE 802 帧 和 PPP 帧 分 析 、 环 回 接口 实验 。 第 4 章 为 ARP 协议 分 析 , 介 
绍 地 址 变换 的 概念 .ARP 协议 的 工作 过 程 、 协 议 报 文 格式 和 特殊 的 ARP, 实 验 内 容 安排 了 
arp 命令 用 法 .ARP 请 求 与 应 答 .ARP 代理 和 免费 ARP 实验 。 第 5 章 为 ICMP 协议 分 析 ， 
介绍 ICMP 的 作用 、ICMP 报 文 及 类 型 ,分 析 ICMP 差错 报告 ,控制 报 文 和 查询 报 文 的 特点 、 
ping 程序 和 Traceroute 程序 的 机 制 和 用 法 ,实验 内 容 安排 了 ICMP 回 显 查询 报 文 、ping 程 
序 和 1IP 选项 .ICMP 重 定向 差错 报 文 和 Traceroute 程序 实验 。 第 6 章 为 IP 协议 和 IP 选 路 
协议 ,介绍 IP 协议 的 特点 、IP 数据 报 格式 、 路 由 表 及 选 路 基本 原理 .RIP 协议 和 OSPF 协 
议 IP 分 片 与 路 径 MTU 发 现 ,实验 内 容 安 排 了 route 命令 与 静态 路 由 、ICMP 主机 和 网 络 
不 可 达 差 错 、RIP 协议 分 析 、OSPF 协议 分 析 、IP 分 片 和 路 径 MTU 发 现实 验 。 第 7 章 为 
UDP 及 应 用 协议 分 析 , 介绍 UDP 协议 特点 .UDP 的 报 文 格式 ,基于 UDP 的 应 用 协议 
DNS.DHCP 和 SNMP 的 有 关 概 念 .协议 工作 基本 原理 、 报 文 格式 和 报 文 实例 解析 ,实验 内 
容 安排 了 DNS 协议 分 析 .DHCP 协议 分 析 和 SNMP 协议 分 析 实 验 。 第 8 章 为 TCP 及 应 用 
协议 分 析 ,介绍 TCP 段 格式 ,TCP 连接 建立 和 拆除 过 程 ,Telnet 远程 登录 的 工作 机 制 和 报 
文 实例 解析 , HTTP 协议 的 工作 特点 , 报 文 格式 和 实例 解析 ,FTP 协议 的 工作 原理 和 报 文 实 
例 解 析 ,实验 内 容 安排 了 Telnet 程序 和 TCP 连接 分 析 、HTTP 协议 分 析 、FTP 协议 分 析 实 
验 。 附 录 中 给 出 了 Cisco 常用 命令 ,以 方便 读者 使 用 Packet Tracer 时 查阅 。 

根据 教学 时 数 和 不 同 的 要 求 ,可 以 在 本 书 的 范围 内 选择 相应 的 实验 内 容 , 以 满足 不 同 的 
教学 需求 。 如 8 学 时 的 实验 可 采用 以 太 网 链 路 层 帧 格式 分 析 实 验 .ARP 协议 分 析 实 验 、 
ICMP 协议 分 析 实验 `.TCP 及 应 用 协议 分 析 实 验 4 个 实验 组 合 ; 16 学 时 的 实验 可 采用 以 太 
网 链 路 层 帧 格式 分 析 实 验 .ARP 协议 分 析 实 验 ICMP 协议 分 析 实 验 、RIP 协议 分 析 实 验 、 
DHCP 协议 分 析 实 验 .SNMP 协议 分 析 实 验 .Telnet 协议 分 析 实验 .HTTP 协议 分 析 实验 8 
个 实验 组 合 ; 其 余 的 实验 可 以 作为 任 选 实验 或 者 课 后 学 生 自 主 安排 实验 。SNMP 协议 涉及 
的 相关 原理 内 容 较 多 一 些 , 可 视 学 时 情况 安排 。 如 果 能 够 在 实验 室 以 讲 练 结合 的 方式 使 用 
本 书 进行 教学 ,应 当 能 用 较 少 的 学 时 获得 较 好 的 学 习 效 果 。 

本 书 的 所 有 实验 全 部 经 过 在 教学 过 程 中 实际 上 机 操作 ,读者 也 可 以 根据 自己 的 实验 网 
络 环 境 进 行 实验 内 容 调整 。 

在 清华 大 学 出 版 社 的 网 站 (http://www. tup. tsinghua. edu. cn) 上 提供 了 本 书 的 多 媒 
体 课件 ,读者 可 下 载 使 用 。 本 书 与 课件 使 用 中 的 相关 问题 请 联系 fuhy@tup. tsinghua. edu. cn。 

本 书 由 陈 年 主编 ,各 章 的 内 容 尤 其 是 实验 内 容 是 近年 来 在 TCP/IP 原理 课程 教学 实践 
中 不 断 地 进行 补充 完善 和 总 结 的 结果 。 在 此 ,对 本 书 的 编写 和 出 版 给 予 支持 和 帮助 的 所 有 
老师 .同学 和 朋友 表示 衷心 的 感谢 。 

限于 编者 的 水 平 ,不 当 之 处 在 所 难免 , 敬 请 各 位 读者 批评 指正 。 任 何 意见 、 建 议 可 以 发 
至 邮箱 chennian_zg@126. com。 


编 者 
2016 年 9 月 
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TCP/IP 起 源 于 20 世纪 60 年 代 末 美国 的 分 组 交换 网 络 项 目 ,但 其 真正 被 广 为 使 用 是 
伴随 着 20 世纪 80 年 代 Internet 的 诞生 ,如 今 它 是 计算 机 网 络 特别 是 Internet 的 基础 ,也 是 
计算 机 网 络 事实 上 的 工业 标准 。 

TCP/IP 协议 是 一 组 开放 式 协 议 ,可 以 进行 任何 组 合 间 的 通信 ,能 够 满足 长 距离 互联 系 
统 的 要 求 。 同 时 ,其 分 组 交换 的 方式 使 得 网 络 中 只 要 存在 有 效 路 由 ,网 络 通信 就 可 以 可 靠 进 
行 。TCP/IP 的 开放 是 指 它 对 异 构 系 统 是 开放 的 。 不 同 厂 家 生产 的 不 同型 号 的 计算 机 , 它 
们 运行 完全 不 同 的 操作 系统 ,使 用 不 同 的 网 络 硬件 ,TCP/IP 协议 族 也 允许 它们 互相 通信 。 

TCP/IP 具有 下 列 主要 特点 。 

。 开放 的 协议 标准 ,可 以 免费 使 用 ,并 且 独 立 于 特定 的 计算 机 硬件 与 操作 系统 。 

。 独立 于 特定 的 网 络 硬件 ,可 以 在 局 域 网 .广域网 中 运行 ,更 适用 于 互联 网 。 

。 统一 的 网 络 地 址 分 配方 案 ,使 得 所 有 TCP/IP 设备 在 网 络 中 都 具有 唯一 的 地 址 。 

。 标准 化 的 高 层 协议 ,可 以 提供 多 种 可 靠 的 用 户 服务 。 


(1 TCP/IP 协议 体系 结构 


1.1.1 TCP/IP 协 议 分 层 


TCP/IP 协议 实际 是 指 一 个 4 层 的 协议 系统 ,也 称 为 TCP/IP 协议 族 。 计算 机 网 络 基 
础 课程 中 介绍 的 OSI/RM(Open System Interconnection Reference Model, 开 放 系 统 互 联 参 
考 模型 ) 采 用 7 层 的 体系 结构 ,其 与 TCP/IP 协议 族 分 层 情况 的 对 应 关系 如 图 1-1 所 示 。 
































应 用 层 
表示 层 应 用 层 
人 请 导 | 
传输 屋 | 传输 层 
网 络 层 | 网 络 层 

至 据 链 路 慑 

物理 层 网 络 接口 层 








图 1-1 OSI/RM 与 TCP/IP 各 层 的 对 应 关系 


计算 机 网 络 中 ,实际 应 用 的 网 络 协议 是 TCP/IP 协议 族 ,TCP/IP 的 应 用 层 大 体 上 对 应 
着 OSL/ RM 模型 的 应 用 层 、 表 示 层 和 会 话 层 ,TCP/IP 的 网 络 接口 层 对 应 着 OSI/RM 的 数 


2 TCP/IP 协 议 分析 教 程 与 实验 
MV 


据 链 路 层 和 物理 层 , 而 传输 层 和 网 络 层 在 两 个 模型 中 对 应 得 很 好 。 
在 计算 机 网 络 基础 课程 中 已 经 学 习 过 TCP/IP 各 层 的 具体 功能 ,这 里 只 对 各 层 的 功能 
进行 简要 表述 ,如 表 1-1 所 示 。 


表 1-1 TCP/IP 协议 分 层 


TCP/IP 层次 主要 协议 主要 功能 
应 用 层 ”HTTP、Telnet、 按照 不 同 应 用 的 特定 要 求 和 方式 负责 把 数据 传输 到 传输 层 或 者 接收 
FTP、SMTP 等 从 传输 层 返 回 的 数据 
传输 层 ” TCP、UDP TCP 为 两 台 主 机 提供 高 可 靠 性 的 数据 通信 ,其 工作 包括 把 应 用 程序 
交 来 的 数据 分 成 合适 的 小 块 交 给 下 面 的 网 络 层 , 确 认 接收 到 的 分 组 ， 
设置 发 送 最 后 确认 分 组 的 超时 时 钟 等 。UDP 则 为 应 用 层 提供 一 种 
非常 简单 的 服务 , 它 只 是 把 数据 报 的 分 组 从 一 台 主 机 发 送 到 另 一 台 
主机 但 并 不 保证 该 数据 报 能 到 达 另 一 端 
网 络 层 。 IP、ICMP\IGMP ”有 时 也 称 作 互联 网 层 ,主要 为 数据 包 选 择 路 由 。 其 中 ,IP 是 TCP/IP 
协议 族 中 最 为 核心 的 协议 。 所 有 的 TCP、UDP、ICMP、IGMP 数据 都 
以 IP 数据 报 格式 传输 
链 路 层 。 ARP、RARP 和 设 发 送 时 将 I 卫 包 作为 帧 发 送 , 接 收 时 把 接收 到 的 比特 组 装 成 帧 ; 提供 
备 驱动 程序 及 接口 ” 链 路 管理 错误 检测 等 





链 路 层 有 时 也 称 作 数据 链 路 层 或 网 络 接口 层 ,通常 包括 操作 系统 中 的 设备 驱动 程序 
和 计算 机 中 对 应 的 网 络 接口 卡 。 它 们 一 起 处 理 与 电缆 (或 其 他 任何 传输 媒介 ) 的 物 
理 接口 细节 。 把 链 路 层 地 址 和 网 络 层 地 址 联系 起 来 的 协议 有 ARP (Address 
Resolution Protocol, 地 址 解析 协议 ) 和 RARP (Reverse Address Resolution 
Protocol, 逆 地 址 解析 协议 ) 。 
网 络 层 处 理 分 组 在 网 络 中 的 活动 ,例如 分 组 的 选 路 。 在 TCP/IP 协议 族 中 ,网 络 层 
协议 包括 IP 协议 (Internet Protocol, 网 际 协 议 )、ICMP 协议 (Internet Control 
Message Protocol, 网 际 控制 报 文 协 议 ) 和 IGMP 协议 (Internet Group Management 
Protocol, 网 际 组 管理 协议 )。 
传输 层 主要 为 两 台 主 机 上 的 应 用 程序 提供 端 到 端的 通信 。 在 TCP/IP 协议 族 中 ,有 
两 个 互 不 相同 的 传输 协议 : TCP(Transmission Control Protocol ,传输 控制 协议 ) 和 
UDP(CUser Datagram Protocol, 用 户 数 据 报 协议 ) 。 
应 用 层 负责 处 理 特 定 的 应 用 程序 细节 。 几 乎 各 种 不 同 的 TCP/IP 实现 都 会 提供 下 
面 这 些 通用 的 应 用 程序 : Telnet 远程 登录 、SMTP(Simple Mail Transfer Protocol， 
简单 邮件 传输 协议 )、FTP (File Transfer Protocol, 文件 传输 协议 )、HTTP 
(HyperText Transfer Protocol, 超 文本 传输 协议 ) 等 。 

构造 互联 网 最 简单 的 方法 是 把 两 个 或 多 个 网 络 通过 路 由 器 进行 连接 。 图 1-2 所 示 是 一 
个 包含 两 个 网 络 的 互联 网 : 一 个 以 太 网 和 一 个 令 牌 环 网 。 它 们 通过 一 个 路 由 器 连接 ,应 用 
层 运 行 FTP 协议 ,传输 层 使 用 TCP 协议 。 

在 图 1-2 中 ,可 以 划分 出 端 系统 (end system) (两 边 的 两 台 主 机 ) 和 中 间 系 统 (intermediate 
system) (中 间 的 路 由 器 )。 应 用 层 和 运输 层 使 用 端 到 端 (end-to-end) 协 议 。 在 图 1-2 中 ,只 
有 端 系统 需要 这 两 层 协议 。 但 网 络 层 提 供 的 是 逐 跳 (hop-by-hop) 协 议 , 两 个 端 系统 和 每 个 
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1-2 TCP/IP 协议 的 通信 模型 


中 间 系 统 都 要 使 用 它 。 

这 里 端 到 端 和 逐 跳 的 概念 对 协议 的 学 习 、 理 解 有 特别 的 意义 。 前 一 个 概念 意味 着 应 用 
层 和 传输 层 的 协议 主要 关心 的 是 通信 的 信 源 和 信 宿 ,也 就 是 端 系统 如 何 通 信 的 问题 ; 后 一 
个 概念 意味 着 网 络 层 和 网 络 接口 层 的 协议 主要 关心 的 是 下 一 跳 , 也 就 是 相 邻 节点 间 如 何 通 
信 的 问题 。 

互联 网 的 目的 之 一 是 在 应 用 程序 中 隐藏 所 有 的 物理 细节 。 例 如 ,图 1-2 中 的 一 台 主 机 
是 在 以 太 网 上 ,而 另 一 台 主 机 是 在 令 牌 环 网 上 ,它们 通过 路 由 器 互联 。 随 着 不 同类 型 的 物理 
网 络 的 增加 ,会 不 断 增 加 运行 着 各 种 网 络 接口 层 协议 的 路 由 器 ,这 些 路 由 器 只 解决 相 邻 的 下 
一 跳 节 点 间 的 通信 问题 。 不 论 中 间 有 多 少 个 路 由 器 ,都 不 涉及 应 用 层 , 所 以 应 用 层 仍然 是 一 
样 的。 物理 细节 的 隐藏 使 得 互联 网 功能 非常 强大 ,也 非常 有 用 。 

实际 的 系统 中 ,应 用 层 由 用 户 进程 实现 ,而 传输 层 及 以 下 的 各 层 都 在 操作 系统 内 核 中 实 
现 。 从 这 个 意义 上 看 ,网 络 通信 的 物理 细节 对 用 户 进程 隐藏 的 特点 和 操作 系统 中 讲述 的 设 
备 无 关 性 原理 是 一 致 的 。 


1.1.2 IP 地址 和 端口 


互联 网 上 参与 通信 的 每 个 节点 可 能 有 不 止 一 个 网 络 接口 ,因此 每 一 个 接口 都 应 有 一 个 
唯一 的 IP 地 址 。 同 时 ,每 个 节点 上 都 可 能 运行 着 多 个 通信 进程 ,因此 需要 通过 端口 号 来 标 
识 参 与 通信 的 进程 。 实 际 上 ,通信 的 主体 总 是 进程 。 互 联网 上 唯一 能 标识 出 通信 的 实体 
的 方法 是 ,用 IP 地 址 来 区 分 不 同 节点 的 不 同 接口 ,用 端口 号 来 区 分 同一 个 节点 上 的 不 同 
进程 。 

需要 注意 的 是 ,一 个 节点 可 以 有 多 个 网 络 接口 ,因此 就 有 多 个 IP 地 址 。 所 以 IP 地 址 标 
识 的 是 网 络 接口 。 

IPv4 采用 的 是 32 位 地 址 ,其 分 类 和 点 分 十 进 制 表示 法 在 计算 机 网 络 基 础 课程 中 已 经 
学 习 过 ,这 里 不 再 详细 介绍 。5 类 IP 地 址 的 格式 如 图 1-3 所 示 。 

按 目的 端 主机 的 范围 可 将 IP 地 址 分 为 以 下 3 类 。 

。 单 播 地 址 : 目的 端 为 单个 主机 。 
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7 位 24 位 
A 类 |0| 网 络 号 主机 号 
14 位 16 位 
B 类 [1[o[ ”网 络 号 | 主机 号 
21 位 8 位 
C 类 [1|110 网 络 号 主机 号 
28 位 
D 类 [1|1|1|0 多 播 组 号 
27 位 
E 类 [1|1|1|1|0 保留 


























1-3 5 类 IP 地 址 的 格式 


。 广播 地 址 : 目的 端 为 给 定 网 络 上 的 所 有 主机 。 

。 多 播 地 址 : 目的 端 为 同一 组 内 的 所 有 主机 。 

TCP 和 UDP 采用 16 位 的 端口 号 来 识别 应 用 程序 ,这 意味 着 相同 的 端口 号 对 于 不 同 的 
传输 层 协议 ,表示 的 是 不 同 的 进程 。 例 如 ,TCP 端口 号 23 和 UDP 端口 号 23 是 不 同 的 。 

服务 器 一 般 都 是 通过 熟知 端口 号 (又 称 保留 端口 号 ) 来 识别 的 ,由 IANA (Internet 
Assigned Numbers Authority,Internet 号 码 分 配 机 构 ) 管 理 , 目 前 为 1 一 1023。 客 户 端口 号 
又 称 为 临时 端口 号 ,通常 只 是 在 用 户 运行 该 客户 程序 时 才 存在 ,通常 为 1024 一 5000。 从 
32 768 开始 的 端口 号 通常 作为 TCP 和 UDP 的 默认 临时 端口 号 。 也 有 把 1024 一 65 535 的 
端口 号 统称 为 动态 端口 号 , 即 这 些 端口 号 一 般 不 固定 分 配给 某 个 服务 使 用 。 

对 UNIX 类 系统 来 说 ,文件 /etc/services 中 包含 了 熟知 端口 号 。 具 有 超级 用 户 ( 即 root 
用 户 ) 权 限 的 进程 ,允许 分 配 1 一 1023 之 间 的 端口 号 。 


(2 封装 与 分 用 


网 络 通信 过 程 中 ,协议 栈 有 两 个 非常 重要 的 操作 : 封装 (发 送 数据 时 ) 和 分 用 (接收 数据 
时 )。 把 握 这 两 点 对 准确 理解 TCP/IP 协议 的 具体 工作 过 程 十 分 有 帮助 。 


1.2.1 封装 


在 图 1-2 所 示 的 通信 过 程 中 , 当 应 用 程序 用 TCP 传送 数据 时 ,数据 被 送 入 协议 栈 中 , 然 
后 逐个 通过 每 一 层 , 直 到 被 当 作 一 串 比 特 流 送 入 网 络 。 其 中 每 一 层 对 收 到 的 数据 都 要 增加 
一 些 首部 信息 (有 时 还 要 增加 尾部 信息 ), 这 种 “加 头 加 尾 ” 的 过 程 称 为 封装 。 该 过 程 如 图 1-4 
所 示 。 

TCP 传 给 IP 的 数据 单元 称 为 TCP 报 文 段 ,简称 为 TCP 段 (TCP segment) 。IP 传 给 网 络 
接口 层 的 数据 单元 称 为 IP 数据 报 (IP datagram) 。 通 过 以 太 网 传输 的 比特 流 称 为 帧 (frame) 。 

更 确切 地 说 ,网 络 接口 层 和 IP 层 之 间 传 送 的 数据 单元 应 该 是 分 组 (packet) ,分 组 既 可 
以 是 一 个 IP 数据 报 ,也 可 以 是 IP 数据 报 的 一 个 部 分 (分 片 ) 。 

UDP 数据 与 TCP 数据 基本 上 是 一 致 的 。 唯 一 不 同 的 是 ,UDP 传 给 IP 的 信息 单元 一 
般 称 为 UDP 用 户 数据 报 , 且 其 首部 长 度 和 TCP 的 不 同 。 
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用 户 数据 
' 1 应 用 程序 
应 用 层 首部 | 用 户 数据 1 
1 1 TCP 
? 1 
TCP 首 部 应 用 数据 1 
让 一 一 一 一 TCP 段 一 一 一 一 IP 
' 
IP 首 部 ”| TCP 首 部 应 用 数据 1 
上 IP 数 据 报 一 以 太 网 
1 1 驱动 程序 
以 太 网 首部 IP 首 部 TCP 首 部 应 用 数据 以 太 网 尾部 
46-1500 个 字 节 以 太 网 
访 以 太 网 帧 | 











图 1-4 TCP/IP 协议 数据 封装 过 程 


不 同 的 网 络 接口 层 协议 ,其 帧 结构 是 不 同 的 ,使 用 的 网 络 接口 层 帧 的 长 度 也 是 不 一 样 
的 。 一 般 来 说 ,以 太 网 协议 的 帧 长 度 是 46 一 1500 个 字 节 ,其 实 是 指 以 太 网 帧 的 数据 部 分 的 
长 度 。 网 络 接口 层 协议 的 帧 结构 将 在 第 3 章 学 习 。 

封装 使 得 上 一 层 协 议 数据 单元 的 结构 在 本 层 中 被 隐藏 ,其 所 有 的 内 容 在 本 层 都 作为 数 
据 来 传送 。 


1.2.2 分 用 


当 目 的 主机 收 到 一 个 以 太 网 数据 帧 时 ,数据 就 开始 从 协议 栈 中 由 底 向 上 升 ,同时 去 掉 各 
层 协 议 添加 的 报 文 首部 。 每 层 协议 都 要 检查 报 文 首 部 中 的 协议 标识 ,以 确定 接收 数据 的 上 
层 协 议 。 这 个 过 程 称 为 分 用 (demultiplexing) ,如 图 1-5 所 示 。 





应 用 程序 “” | 应 用 程序 | ”| 应 用 程序 | … | 应 用 程序 


根据 TCP 或 UDP 
首部 中 的 端口 号 
进行 分 用 
ICMP IGMP 
= 根据 IP 首 部 
中 的 协议 类 型 
值 进 行 分 用 


根据 以 太 网 首部 
中 的 帧 类 型 值 进 
以 大 同 行 分 用 
驱动 程序 
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进入 的 帧 





图 1-5 TCP/IP 协议 数据 分 用 过 程 


5 


AA 


6 


SAA 


TCP/1P 协 议 分 析 教 程 与 实验 


TCP/IP 协议 栈 依据 各 层 协议 数据 单元 的 首部 协议 类 型 或 端口 字段 来 决定 将 数据 提交 
给 上 一 层 的 哪个 协议 来 处 理 。 这 里 要 特别 注意 的 是 图 1-5 中 ARP、RARP 和 ICMP IGMP 
的 位 置 ,这 几 个 协议 分 别 放 在 网 络 接口 层 与 网 络 层 、 网 络 层 和 传输 层 之 间 的 位 置 。 这 样 处 理 
的 目的 是 想 表 明 ,这 几 个 协议 并 不 能 简单 地 归并 于 某 一 层 , 但 在 分 用 的 过 程 中 ,下 层 的 协议 
依据 首部 协议 类 型 仍然 采用 了 往 上 层 协议 提交 数据 的 相同 方式 来 处 理 协 议 数据 单元 。 


(3 RFC 


RFC(Request for Comment) 文 档 是 一 系列 关于 Internet 的 技术 资料 汇编 ,这 些 文档 详 
细 讨 论 了 计算 机 网 络 技术 的 各 种 信息 ,重点 是 网 络 协议 、. 进程、 程序 .概念 ,以 及 一 些 会 议 纪 
要 意见、 各 种 观点 等 。 所 有 关于 Internet 的 正式 标准 都 以 RFC 文档 出 版 。 另 外 ,大 量 的 
RFC 并 不 是 正式 的 标准 ,出 版 的 目的 只 是 为 了 提供 信息 。 每 一 个 RFC 文档 都 用 一 个 数字 
来 标识 ,如 RFC 1122 ,数字 越 大 ,说 明 其 中 的 内 容 越 新 。 

绝 大 多 数 互联 网 技术 标准 出 自 IETF(Internet Engineering Task Force, Internet 工程 
任务 组 )。IETF 成 立 于 1985 年 底 , 是 全 球 互联 网 最 具 权 威 的 技术 标准 化 组 织 , 主 要 任务 是 
负责 互联 网 相关 技术 规范 的 研发 和 制定 。IETF 和 IRTF(Internet Research Task Force， 
Internet 研究 专门 工作 组 ) 都 隶属 于 IAB(Internet Architecture Board, Internet 架构 委员 
会 )。IRTF 主要 对 长 远 的 项 目 进 行 研究 。 

“RFC 编辑 者 "(RFC Editor) 是 RFC 文档 的 出 版 者 , 它 负 责 RFC 最 终 文档 的 编辑 审 
订 。RFC 编辑 者 还 保留 有 RFC 的 主 文件 , 称 为 RFC 索引 ,用 户 可 以 在 线 检索 。 在 RFC 前 
30 年 的 历史 中 ,RFC 编辑 者 一 直 由 约翰 。 普 斯 特 尔 (Jon Postel) 担 任 , 而 现在 RFC 编辑 者 
由 一 个 工作 小 组 担任 ,这 个 小 组 受到 “Internet 社团 ”(Internet Society) 的 支持 和 帮助 。 

Internet 协议 族 的 文档 部 分 由 IETF 及 IETF 下 属 的 IESG (Internet Engineering 
Steering Group,Internet 工程 指导 组 ) 定 义 , 也 作为 RFC 文档 出 版 。 

通常 , 当 某 个 研究 机 构 或 团体 开发 出 一 套 标准 或 提出 对 某 种 标准 的 设想 ,希望 通过 
Internet 征询 外 界 的 意见 时 ,就 会 发 布 一 份 RFC, 对 这 一 问题 感 兴趣 的 人 可 以 阅读 该 RFC 
文档 并 提出 自己 的 意见 。 经 过 大 量 的 论证 和 修改 后 ,再 由 IETF 指定 为 网 络 标准 。 在 RFC 
中 所 收录 的 文件 并 不 一 定 都 是 正在 使 用 或 为 大 家 所 公认 的 标准 ,也 有 很 大 一 部 分 只 是 在 某 
个 局 部 领域 被 使 用 ,甚至 没有 被 采用 。 

实际 上 ,任何 一 个 用 户 都 可 以 对 Internet 某 一 领域 的 问题 提出 自己 的 解决 方案 或 规范 ， 
并 作为 Internet 草案 (Internet Draft, ID) 提 交 给 IETF 和 IESG, 确 定 该 草案 是 否 能 成 为 
Internet 的 标准 。 

RFC 2026 说 明了 制定 Internet 正式 标准 需要 经 过 以 下 4 个 阶段 。 

(1) Internet 草案 ,在 这 个 阶段 还 不 是 RFC 文档 ,只 有 ID, 没 有 RFC 编号 。 

(2) 建议 标准 (proposed standard), 当 一 个 草案 在 公布 6 个 月 内 被 IESG 确定 为 
Internet 的 正式 工作 文件 后 ,将 被 提交 给 IAB, 并 从 这 个 阶段 开始 成 为 具有 顺序 编号 的 RFC 
文档 。 

(3) 草案 标准 (draft standard) ,通常 被 认为 是 有 关 问 题 的 最 后 解决 方案 并 可 以 为 生产 
商 使 用 的 技术 规范 。 
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(4) Internet 标准 ,被 批准 后 都 会 分 配 一 个 唯一 的 RFC 的 永久 编号 , 即 STD 编号 。 

作为 标准 的 RFC 又 分 为 几 种 ,第 一 种 是 提议 性 的 , 即 建 议 采 用 这 个 标准 ,作为 一 个 方案 
提出 来 ; 第 二 种 是 完全 被 认可 的 标准 ,这 种 是 大 家 都 在 用 ,而 且 是 不 应 该 改变 的 ; 还 有 一 种 
是 现在 的 最 佳 实践 法 (best current practice) , 它 是 对 Internet 管理 或 使 用 的 一 般 性 的 指导 
或 相当 于 一 种 说 明 。 此 外 ,还 有 其 他 一 些 类 型 的 RFC, 如 FYI(for Your Information) ,用 以 
提供 有 关 Internet 的 知识 性 内 容 , 还 有 “历史 的 "“ 实 验 的 ”等 类 型 。 

一 份 RFC 具体 处 于 什么 状态 都 在 文件 中 做 了 明确 的 标识 。RFC 文档 只 有 新 增 , 不 会 
有 取消 或 中 途 停止 发 行 的 情形 。 但 是 对 于 同一 主题 而 言 , 新 的 RFC 文档 通常 会 在 文档 开头 
声明 取代 的 旧 的 RFC 文档 的 编号 。 每 一 个 RFC 文档 有 一 个 编号 ,这 个 编号 永 不 重复 。 也 
就 是 说 ,由 于 技术 进步 等 原因 ,即使 是 关于 同一 问题 的 RFC, 也 要 使 用 新 的 编号 ,而 不 会 使 
用 原来 的 编号 。 

可 以 通过 IETF 网 站 查阅 RFC 文档 ,其 网 址 是 http://www. ietf. org/。 另 外 ,也 可 以 
通过 专门 维护 RFC 的 RFC 编辑 者 网 站 (http://www. rfc-editor. org/) 来 查阅 。 中 文 的 相 
关 网 站 有 协议 分 析 网 (http://www. cnpaf. net/) ,在 这 里 可 以 通过 RFC 中 文 项 目 获 得 部 分 
RFC 的 中 文 文档 ,该 网 站 也 提供 一 些 常用 的 协议 分 析 软 件 下 载 服务 和 国内 外 有 关 网 络 协议 
分 析 或 应 用 的 技术 动态 。 

学 会 查阅 RFC 文档 对 学 习 TCP/IP 协议 具有 重要 意义 。 在 学 习 和 工程 实际 中 遇 到 不 
清楚 的 问题 ,往往 都 是 因为 对 基础 的 网 络 协议 工作 过 程 不 清楚 造成 的 。 这 时 寻求 解决 问题 
途径 的 一 个 有 效 办 法 就 是 阅读 RFC 文档 对 协议 工作 原理 或 过 程 的 描述 。 在 进行 科学 研究 
时 ,要 在 前 人 研究 的 基础 上 进行 探索 或 创新 ,就 需要 详细 了 解 研究 问题 的 现状 或 历史 。 这 时 
查阅 RFC 文档 也 是 十 分 必要 的 。 查 阅 RFC 文档 时 ,一 是 需要 确定 它 是 最 新 的 文档 ,二 是 需 
要 注意 RFC 文档 的 类 别 。 


人 4 应 用 编程 接口 


网 络 协议 栈 的 实现 一 般 都 是 由 操作 系统 来 完成 的 ,在 网 络 接口 层 还 需要 借助 网 络 接口 
的 驱动 程序 (网 卡 驱动 程序 ) 。 程 序 员 可 以 使 用 的 编程 接口 有 两 个 层次 : 传输 层 和 网 络 层 主 
要 使 用 套 接 字 编 程 ; 网 络 接口 层 的 访问 方法 有 BSD(Berkeley Software Distribution, 伯 克 
利 软 件 发 行 版 ) 的 BPF(Berkeley Packet Filter, 伯 克利 包 过 滤器 ) ,Linux 系统 下 的 SOCK_ 
PACKET 接口 .Libpcap 函数 库 等 ,现在 主要 使 用 的 是 Libpcap 及 其 Windows 环境 下 的 版 
本 WinPcap 函数 库 。 下 面 简单 介绍 这 两 个 层次 编程 的 特点 。 如 果 要 学 习 更 进一步 的 内 容 ， 
请 参考 有 关 网 络 编程 的 书籍 资料 。 


1.4.1 套 接 字 编 程 


Socket( 套 接 字 ) 也 称 为 Berkeley Socket, 表明 它 是 从 伯克利 版 套 接 字 发 展 而 来 的 。 
Socket 接口 是 应 用 程序 与 TCP/IP 协议 栈 的 接口 , 它 定义 了 一 组 函数 或 例 程 来 支持 TCP/IP 
网 络 应 用 程序 开发 。UNIX 系列 系统 提供 Socket 接口 , Windows 系列 系统 提供 Winsock 
接口 。 
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一 个 套 接 字 描 述 一 个 通信 连接 的 一 端 ,两 个 通信 程序 中 各 自 有 一 个 套 接 字 来 描述 自己 
的 通信 连接 。 套 接 字 的 形式 如 下 。 


(IP, PORT) 


其 中 ,IP 表示 节点 的 IP 地 址 ,PORT 表示 端口 号 ,再 加 上 表示 通信 协议 的 参数 ,一 个 网 
间 通 信 标 识 为 一 个 五 元 组 : < 协议 ,本 地 地 址 ,本 地 端口 ,远程 地 址 ,远程 端口 >。 

基本 Socket API 有 若干 常用 函数 ,包括 socket() ,close() .bind() \listen() accept()、 
connect() ,send() ,recv() 等 。 

Socket API 可 以 方便 地 实现 基于 TCP 和 UDP 的 编程 ,也 可 以 通过 原始 套 接 字 完成 基 
于 IP 的 编程 ,如 构建 自己 的 了 P 数 据 报 ,因此 在 各 种 网 络 应 用 程序 设计 中 被 普遍 使 用 。 在 掌 
握 TCP/IP 协议 工作 原理 的 基础 上 ,再 学 习 Socket 编程 方法 ,就 可 以 按照 应 用 的 需要 设计 
出 不 同 的 网 络 应 用 程序 ,如 各 种 网 络 通信 程序 等 。 


1.4.2 Libpcap 编程 


Libpcap(packet capture library) 是 一 个 提供 针对 网 络 数 据 包 捕 获 系统 的 高 层 接 口 的 开 
源 函 数 库 。 它 是 1994 年 由 麦克 坎 尼 (McCanne) 、 莱 乐土 (Leres) 和 杰 科 布 森 (Jacobson) 创 
建 的 ,其 设计 愿望 是 开创 一 个 独立 平台 的 应 用 程序 接口 ,以 消除 程序 中 针对 不 同 操作 系统 所 
包含 的 数据 包 捕获 代码 模块 。 这 就 解决 了 捕获 机 制 在 不 同 操作 系统 间 的 移植 性 的 问题 ,有 
利于 提高 程序 开发 的 效率 。 

Libpcap 应 用 程序 接口 被 设计 用 于 C 语言 或 C++ ,通过 将 网 卡 设置 为 混杂 模式 ,可 以 捕 
获 所 有 经 过 该 网 络 接口 的 数据 包 。 著 名 的 tcpdump 程序 就 是 在 Libpcap 的 基础 上 开发 而 成 
的 , 它 通 过 Libpcap 提供 的 接口 函数 来 实现 数据 包 的 采集 、 过 滤 等 功能 。 后 来 出 现 了 很 多 封 
装 包 ,使 它 也 可 用 于 其 他 语言 ,如 Perl、Python、Java、C# 和 Ruby 等 语言 。Libpcap 软件 包 
可 从 http://www. tcpdump. org/ 下 载 。 

Libpcap 运行 于 大 多 数 类 UNIX 操作 系统 上 ,其 Windows 环境 下 的 版 本 是 WinPcap。 
WinPcap 是 基于 Win32 平台 的 网 络 包 截获 和 分 析 系 统 ,其 官方 网 站 是 http://winpcap. 
polito. it/ ,也 可 以 从 http://www. winpcap. org/ 下 载 它 的 驱动 .DLL 和 开发 包 。 

Libpcap 的 主要 功能 有 数据 包 捕 获 、 自 定义 数据 包 发 送 、 流 量 采集 与 统计 ,以 及 规则 过 
滤 , 所 以 Libpcap 最 普遍 的 用 途 是 利用 Libpcap 实现 网 络 协 议 分 析 器 ,也 就 是 网 络 嗅 探 器 。 
另外 , 它 还 可 以 用 来 实现 流量 分 析 、 入 侵 检测 系统 、 网 络 扫描 工具 等 网 络 应 用 。 


(1) TCP/IP 是 实际 的 网 络 工业 标准 ,其 采用 的 4 层 网 络 体系 结构 与 OSL/RM 模型 不 
同 ,但 存在 一 定 的 对 应 关系 。 

(2) 应 用 层 和 传输 层 使 用 端 到 端 协议 ,网络 层 和 网 络 接口 层 都 使 用 逐 跳 的 协议 。 

(3) 互联 网 上 每 个 接口 用 IP 地 址 来 标识 ,而 节点 上 每 个 通信 的 进程 用 端口 号 来 标识 。 

(4) 封装 和 分 用 是 协议 工作 的 两 个 主要 过 程 。 在 数据 发 送 时 ,每 一 层 对 收 到 的 上 一 层 
交 来 的 数据 都 要 增加 一 些 首部 或 尾部 信息 ; 在 接收 数据 时 ,每 一 层 都 根据 要 处 理 的 协议 数 


第 1 章 TCP/1P 协 议 概述 


据 单元 的 首部 信息 决定 将 数据 提交 给 上 一 层 的 哪个 协议 处 理 。 封 装 和 分 用 是 分 层 协 议 工作 
过 程 的 具体 体现 ,也 是 理解 协议 栈 工作 的 重要 概念 。 

(5) RFC 文档 记载 了 所 有 关于 Internet 的 正式 标准 。 阅 读 RFC 文档 对 准确 理解 网 络 
的 工作 原理 有 直接 帮助 。 

(6) 网 络 编程 接口 通常 有 两 个 层次 : Socket 用 于 网 络 层 与 传输 层 的 编程 ; Libpcap 或 
WinPcap 函数 库 用 于 网 络 接口 层 的 编程 。 


(1.6 习题 


1. 根据 IP 地 址 的 格式 计算 最 多 有 多 少 个 A 类 、B 类 和 C 类 网 络 号 。 

2. 通过 查阅 主机 需求 RFC 1122(Braden 1989a) 和 RFC 1123(Braden 1989b) ,阅读 有 
关 应 用 于 TCP/IP 协议 族 每 一 层 的 稳健 性 原则 ,理解 并 说 明 普 斯 特 尔 定律 (Postel’s law, 也 
称 为 鲁 棒 性 原则 ) 的 含义 。 

3. 说 明 RFC 文档 有 几 种 状态 及 各 个 状态 的 特点 。 

4. Napster 是 第 一 个 被 广泛 应 用 的 P2P 音乐 共享 服务 , 它 极 大 地 影响 了 人 们 使 用 互联 
网 的 方式 。P2P 是 英文 peerto-peer( 对 等 ) 的 缩写 ,又 称 为 “点 对 点 ”。 当 今 的 互联 网 中 , 超 
过 50% 的 网 络 流量 来 自 于 P2P 程序 。 查 阅 资料 ,说 明 P2P 作为 一 种 网 络 通信 模式 与 客户 / 
服务 器 模式 的 差异 。 
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“ 工 欲 善 其 事 , 必 先 利 其 器 。” 要 学 习 TCP/IP 协议 的 工作 原理 ,就 需要 借助 有 效 的 学 习 
工具 ,这 样 才能 更 准确 .全 面 地 掌握 协议 数据 单元 的 构成 和 协议 工作 过 程 ,达到 事半功倍 的 
效果 。 同 时 ,掌握 各 种 协议 分 析 工 具 的 用 法 ,还 能 够 为 网 络 工程 实践 商定 基础 。 

本 章 介绍 的 几 款 网 络 学 习 和 分 析 工 具 , 都 具有 使 用 广泛 、 功 能 针对 性 强 的 特点 ,能 够 满 
足 学 习 者 在 不 同学 习 阶段 学 习 网 络 协 议 的 需要 。 除 Cisco Packet Tracer 主要 用 于 学 习 外 ， 
其 他 工具 软件 在 实际 中 广泛 应 用 于 网 络 工程 科研 领域 。 因 此 ,掌握 这 些 软 件 工具 的 基本 使 
用 方法 具有 重要 的 实际 意义 。 

考虑 到 本 书 主要 针对 普通 高 校 的 学 生 学 习 使 用 ,本 章 着 重 介绍 Wireshark、Cisco Packet 
Tracer 和 GNS3 的 用 法 ,对 Sniffer Pro 和 科 来 网 络 分 析 系 统 只 作 简 单 介绍 。 


@.1 协议 分 析 


协议 分 析 也 称 为 网 络 分 析 , 是 指 通过 捕获 在 网 络 通信 系统 中 传送 的 数据 ,搜集 网 络 统计 
信息 ,将 数据 包 解码 为 可 以 阅读 的 形式 的 过 程 。 要 完整 准确 地 捕获 网 络 通信 信息 ,通常 需 
要 借助 专门 设计 的 软件 工具 一 一 协议 分 析 器 ,并 安装 到 网 络 中 特定 的 位 置 以 获取 网 络 通信 
信息 。 

本 质 上 ,协议 分 析 器 是 在 窃听 网 络 通 信 , 并 且 由 于 这 些 协 议 分 析 器 能 够 揭示 许多 不 同类 
型 的 有 潜在 价值 的 信息 ,甚至 破坏 通信 信息 ,同时 许多 协议 分 析 器 还 能 够 发 送 数据 包 ,当然 
也 就 可 以 伪造 数据 包 , 因 此 ,许多 机 构 都 禁止 对 实际 运行 的 网 络 使 用 协议 分 析 器 。 


2.1.1 协议 分 析 器 的 原理 


协议 分 析 器 的 本 质 是 数据 包 嗅 探 。 观 察 正在 运行 的 协议 实体 间 交 换 报 文 的 基本 工具 称 
为 数据 包 嗅 探 器 (packet sniffer) ,又 称 分 组 捕获 器 。 顾 名 思 义 ,数据 包 嗅 探 器 用 于 捕获 ( 嗅 
探 ) 计 算 机 发 送 和 接收 的 报 文 。 对 网 络 安全 稍 有 了 解 的 人 都 知道 嗅 探 器 ,而且 往 往 把 嗅 探 器 
和 黑客 联系 在 一 起 。 其 实 , 网 络 嗅 探 器 通常 用 来 进行 协议 分 析 和 网 络 监控 ,以 便 进 行 故障 诊 
断 、 性 能 分 析 和 安全 分 析 等 ,黑客 则 用 之 进行 安全 敏感 信息 的 监听 和 截取 。 

图 2-1 所 示 显 示 了 一 个 数据 包 嗅 探 器 的 基本 结构 。 

嗅 探 器 主要 由 两 部 分 组 成 : 分 组 捕获 器 和 分 组 分 析 器 。 

分 组 捕获 器 需要 把 网 卡 设置 为 “混杂 模式 ”(promiscuous mode) ,这 样 当 数据 包 从 嗅 探 
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2-1 数据 包 嗅 探 器 的 基本 结构 


器 所 连接 的 网 卡 上 进入 系统 时 , 嗅 探 程序 可 以 接收 到 整个 以 太 网 内 的 网 络 数据 信息 ,包括 所 
有 的 广播 .组 播 和 单 播 数 据 包 , 甚 至 错误 数据 包 ,从 而 实现 数据 包 捕获 。 

分 组 分 析 器 的 作用 是 分 析 协 议 报 文 并 把 报 文中 所 有 字段 的 内 容 直 观 地 显示 出 来 。 其 主 
要 构成 通常 包括 包 过 滤器 ,数据 包 缓 冲 区 和 解码 部 分 。 包 过 滤器 用 于 设 定 协议 分 析 器 想 要 
捕获 的 数据 包 的 类 型 ,通常 都 可 以 按照 协议 类 型 .通信 的 IP 地 址 、 网 络 接口 层 地 址 和 应 用 程 
序 来 设 定 过 滤 条 件 。 解 码 部 分 主要 是 将 缓冲 区 中 已 经 捕获 的 数据 包 解 析 为 用 户 可 读 的 协议 
数据 单元 格式 ,以 便 用 户 分 析 。 

绝 大 多 数 协议 分 析 器 都 提供 了 一 定 的 数据 包 统 计 功 能 ,可 以 对 各 种 类 型 的 数据 包 进 行 
整理 统计 ,包括 各 种 类 型 的 错误 数据 包 , 这 为 网 络 管理 活动 提供 了 极 大 的 帮助 。 


2.1.2 协议 分 析 器 的 主要 用 途 


协议 分 析 器 通常 用 于 诊断 网 络 出 现 的 故障 。 在 典型 的 情况 下 ,协议 分 析 器 安装 在 网 络 
特定 的 位 置 并 配置 为 捕获 存在 问题 的 通信 信息 ,通过 读 取 电缆 系统 中 传输 的 数据 包 ,能 够 识 
别 出 通 信 过 程 中 存在 的 缺陷 和 错误 。 

例如 , 当 一 个 UDP 通信 的 客户 端 不 能 连接 到 指定 的 服务 器 时 ,协议 分 析 器 就 可 以 用 于 
捕获 并 查看 它们 之 间 通 信 的 内 容 , 以 揭示 客户 端 解析 卫 地 址 的 过 程 ,定位 本 地 路 由 器 的 
硬件 地 址 ,提交 给 服务 器 的 UDP 数据 包 以 及 服务 器 的 处 理 响应 信息 ,从 而 判断 出 问题 
所 在 。 

协议 分 析 器 也 可 以 用 来 测试 网 络 ,通常 测试 可 以 采用 两 种 方式 来 进行 。 一 种 是 主动 向 
网 络 中 发 送 数据 包 来 测试 , 另 一 种 是 通过 侦 听 不 同 寻常 的 通信 的 被 动 方式 来 测试 。 例 如 ,如 
果 防 火 墙 被 配置 为 阻塞 特定 类 型 的 流量 进入 本 地 网 络 ,那么 协议 分 析 器 既 可 以 配置 为 向 防 
火 墙 发 送 测试 数据 包 来 检测 某 些 不 可 达 流 量 是 否 会 被 防火 墙 转发 ,也 可 以 从 防火 墙 后 侦 听 
流量 ,检测 不 可 达 流 量 是 否 被 转发 。 

协议 分 析 器 还 可 以 用 于 搜集 网 络 性 能 的 趋势 数据 ,从 而 为 预防 出 现 影 响 网 络 正常 工作 
或 性 能 的 极端 情况 提供 参考 ,这 对 网 络 管理 员 来 说 具有 特别 的 意义 。 多 数 协 议 分 析 器 都 有 
能 力 跟 踪 网 络 流量 的 短期 和 长 期 趋势 ,这 些 趋势 包括 网 络 利 用 率 、 每 秒 钟 数 据 包 的 速率 、 数 
据 包 长 度 分 布 及 使 用 的 协议 等 。 网 络 管理 员 能 够 利用 这 些 信息 跟踪 网 络 随时 间 发 生 的 细微 
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变化 。 

对 学 习 网 络 原 理 的 人 来 说 ,协议 分 析 器 是 准确 掌握 网 络 原 理 的 有 力 工具 。 本 书 将 使 用 
协议 分 析 器 Wireshark 作为 主要 的 教学 工具 ,对 TCP/IP 网 络 中 使 用 的 各 种 数据 包 的 结构 
和 通信 过 程 进行 分 析 。 另 外 ,对 于 TCP/IP 协议 分 析 的 初学 者 , Cisco 公司 的 模拟 软件 
Packet Tracer 可 以 提供 模拟 环境 下 的 协议 分 析 , 也 是 一 个 很 好 的 学 习 辅 助 工 具 。 高 仿真 环 
境 下 的 协议 分 析 可 以 借助 GNS3 和 Wireshark 来 共同 完成 ,这 样 的 环境 在 进行 科学 研究 时 
也 是 有 参考 意义 的 实验 平台 。 


& 3 Cisco Packet Tracer 


Packet Tracer 是 Cisco 公司 针对 其 CCNA 认证 为 Cisco 网 络 技术 学 院 开发 的 一 个 用 来 
设计 配置 网 络 和 故障 排除 的 模拟 软件 ,目前 常用 的 版 本 为 Packet Tracer 6.0。 下 面 结合 学 
习 协 议 分 析 的 需要 来 说 明 其 用 法 ,需要 全 面 了 解 Packet Tracer 的 读者 请 查阅 软件 的 联机 帮 
助 文档 或 其 他 相关 资料 。 

Packet Tracer 是 一 款 非常 适合 网 络 初 学 者 使 用 的 工具 , 它 不 仅 能 够 简便 、 快 速 地 构建 
出 网 络 实验 环境 ,而 且 其 模拟 工作 方式 还 能 够 为 学 习 者 提供 网 络 各 层 数 据 的 构成 和 传输 情 
况 、 各 种 帧 或 分 组 的 处 理 过程 。 尽 管 Packet Tracer 不 是 一 个 协议 分 析 器 ,但 它 在 模拟 方式 
下 可 以 对 每 个 节点 中 网 络 各 层 PDU(Protocol Data Unit ,协议 数据 单元 ) 处 理 过 程 的 每 一 步 
操作 提供 模拟 和 协议 分 析 , 这 对 于 学 习 协 议 工作 原理 的 初学 者 理解 协议 工作 过 程 来 说 是 非 
常 有 帮助 的 。 另 外 ,Packet Tracer 的 一 个 最 大 优点 是 可 以 快速 构建 一 个 模拟 网 络 环境 ,这 
为 及 时 验证 学 习 过 程 中 的 问题 提供 了 一 个 简便 的 手段 。 

但 是 ,Packet Tracer 毕竟 是 一 款 模拟 学 习 软 件 , 其 模拟 捕获 的 数据 包 的 信息 与 真实 网 
络 环境 中 捕获 的 数据 包 还 是 有 差别 的 。 例 如 ,不 能 真实 感受 到 网 络 中 原始 数据 的 存在 形态 ; 
部 分 数据 不 完整 ; 许多 网 络 应 用 没有 办 法 实现 ,有 关 的 信息 自然 也 无 法 观察 到 ; 由 于 网 络 
应 用 实验 环境 单一 且 没 有 干扰 因素 ,实验 结果 与 真实 环境 中 的 有 差距 ; 等 等 。 另 外 ,Packet 
Tracer 只 提供 对 Cisco 公司 部 分 设备 的 有 限 支持 ,这 和 工程 实践 中 存在 多 个 公司 的 产品 ,并 
且 运 行 着 多 种 协议 支持 的 多 种 应 用 有 着 明显 的 差距 。 

















2.2.1 Packet Tracer 的 工作 界面 


Packet Tracer 6. 0 的 安装 按照 安装 向 导 的 提示 很 容易 就 可 完成 ,这 里 就 不 袭 述 了 。 该 
软件 的 工作 界面 如 图 2-2 所 示 。 

图 中 标示 了 各 主要 区 域 的 功能 。 下 面 结合 一 个 简单 的 例子 来 说 明 其 基本 使 用 方法 。 

(1) 添加 设备 。 在 网 络 设备 库 内 先 找到 要 添加 设备 的 大 类 别 , 然 后 从 该 类 别 各 个 具体 
型 号 的 设备 中 寻找 添加 自己 想 要 的 设备 。 例 如 ,要 添加 一 个 2620XM 路 由 器 ,可 先 在 网 络 
设备 库 中 用 鼠标 单 击 路 由 器 图 标 , 然 后 在 设备 类 型 中 单 击 2620XM 路 由 器 ,并 拖 动 到 工作 
区 中 。 用 同样 的 方法 ,再 添加 一 个 2950-24 交换 机 和 两 台 PC。 按 住 Ctrl 键 单 击 相应 设备 ， 
可 以 连续 添加 设备 。 

(2) 正确 连接 各 个 节点 。Packet Tracer 6. 0 有 多 种 连接 线 ,如 图 2-3 所 示 。 因 而 它 有 
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r ee 
‘WB Cisco packet Tracer 人 Ee=3 
Fle Edt Options View Tools Extensions Help 


= aN 




















实时 /模拟 模式 转换 
用 户 数据 包 窗 口 


Nes _ 信 他 | 
Realtime 
本 的 (Ba f ] Scenario 0 ~ 
1841 | i941 ， 2620XM [New |[ Delete | 
* | Toggle PDU List Window 


图 2-2 Packet Tracer 6.0 工作 界面 




















多 种 设备 连接 方式 : 控制 台 连 接 、 双 绞 线 交叉 连接 、 双 绞 线 直 连 连接 、 光 纤 、 串 行 DCE 及 串 
行 DTE 等 。 如 果 不 能 确定 应 该 使 用 哪 种 连接 方式 , 则 可 以 使 用 自动 连接 ,让 软件 自动 选择 
相应 的 连接 方式 。 


甸 回回 加 回回 思 四 





外 四 


自 相交 电 。 同 串 八 
动 制 连 叉 缆 话 轴 行 行 进 
选 线 双 双 线 线 线 线 制 
择 绞 绞 DCE DTE 接 

线 线 [a 


图 2-3 Packet Tracer 6.0 的 连接 线 


如 果 是 自己 确定 连 线 方式 , 则 连接 时 还 要 确定 连接 接口 。 若 选择 自动 连 线 , 则 连接 
2620XM 和 PC1 时 网 络 如 图 2-4 所 示 。 

这 是 因为 2620XM 没有 安装 相应 的 模块 ,已 经 没有 接口 可 用 。 因 此 需要 在 2620XM 中 
添加 模块 。 

(3) 查看 设备 和 添加 模块 。 单 击 工作 区 中 的 设备 ,打开 设备 配置 对 话 框 , 可 以 查看 设备 
的 前 面板 、 具 有 的 模块 及 配置 设备 。 设 备 连接 前 可 以 根据 需要 添加 所 需 的 模块 。 注 意 ,要 先 
在 Physical 选项 卡 的 设备 面板 上 关闭 设备 电源 ,然后 选择 合适 的 模块 ,将 模块 添加 到 设备 插 
槽 的 空缺 处 即 可 。 删 除 模块 时 ,将 模块 拖 回 到 原 处 即 可 。 为 Router0 添加 NM-4E 模块 (以 
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时 Connection Emor Ea 





0 The cable cannot be connected to that port. 














图 2-4 Packet Tracer 6.0 的 网 络 连 线 


太 网 模块 ) 后 ,继续 完成 连接 。 这 时 会 发 现 系 统 自动 选择 了 交叉 双 绞 线 连接 路 由 器 和 PC1。 
连接 好 后 的 网 络 如 图 2-5 所 示 。 










2950-24 2620XM 
Switch0 Router0 


6 
PC-PT PC-PT 
PC0 PC1 


2-5 ”Packet Tracer 6.0 的 网 络 连接 


线 缆 两 端的 圆 点 用 不 同 的 颜色 来 表示 连接 状态 : 绿色 表示 物理 连接 准备 就 绪 ; 闪烁 的 
绿色 表示 链 路 激活 ; 红色 表示 物理 连接 不 通 ; 黄色 表示 交换 机 端口 阻塞 。 

线 缆 两 端 圆 点 的 不 同 颜色 有 助 于 人 们 进行 连通 性 的 故障 排除 。 

(4) 配置 网 络 设 备 工 作 模式 或 工作 参数 。 单 击 设 备 即 可 打开 设备 配置 对 话 框 。 在 
Router0 设备 配置 对 话 框 中 有 3 个 选项 卡 。Physical 选项 卡 用 于 添加 端口 模块 ,Config 选项 
卡 为 用 户 提供 了 简单 配置 路 由 器 的 图 形 化 界面 ,在 这 里 可 以 查看 和 配置 全 局 信息 、 路 由 信息 
和 端口 信息 。 当 进行 某 项 配置 时 ,下 面 的 命令 提示 列表 框 会 显示 相应 的 命令 。 

图 2-6 所 示 为 配置 网 络 接口 FastEthernet0/0 的 IP 地 址 和 子 网 掩 码 。 注 意 , Port 
Status 设置 为 On。 这 是 Packet Tracer 中 的 快速 配置 方式 ,实际 设备 中 不 一 定 有 这 样 的 配 
置 方式 。 

设备 配置 对 话 框 中 的 CLI 选项 卡 是 在 命令 行 模式 下 对 Router0 进行 配置 ,这 种 模式 和 
实际 路 由 器 的 配置 环境 非常 相似 。 

熟悉 Cisco 设备 的 读者 可 以 使 用 命令 进行 设备 配置 。 

终端 设备 的 配置 窗口 不 同 于 网 络 设备 ,有 一 个 Desktop 选项 卡 , 其 功能 选项 如 图 2-7 
所 示 。 

Desktop 选项 卡 中 的 IP Configuration 也 可 以 完成 默认 网 关 、IP 地 址 和 子 网 掩 码 的 设 
置 。Terminal 选项 用 于 模拟 一 个 超级 终端 对 路 由 器 或 交换 机 进行 配置 。Command Prompt 
等 同 于 计算 机 中 的 命令 行 窗口 。 

配置 PC0 上 的 接口 地 址 为 (192. 168. 1. 2 ”255. 255. 255. 0)。 类 似 地 ,配置 Router0 上 的 
Ethernet 1/0 为 (192. 168.2.1 255. 255. 255. 0) 和 PC1 上 的 接口 地 址 为 (192. 168. 2. 2 255. 


第 2 章 ”协议 分 析 和 学 习 工 具 M10 











Physical | Config | CLI 













































时 FastEthernetO/0 ey 
Port Status 回 on 
Bandwidth 回 Auto 

l0Mtps © 100 Mbps 
Duplex Auto 

5 Full Duplex Half Duplex 

MAC Address 0001.973E,E7CD 
Ip Address 192.168.1.1 
Subnet Mask ss.255.255.0 
Tx Ring Limit 10 














Roucer (contig-if) gexit 
Router (contig) $inter tace FastEchernet0/0 

Roucer (config-it) fno ip address 

Roucer (contig-it)$ip address 192.169.1.1 255.255.255.0 
Roucer (contig-i2)g 











2-6 ”网 络 设备 配置 对 话 框 的 Config 选项 卡 











Physical | Config | Desktop ,| Software/Services | 














2-7 终端 设备 的 Desktop 选项 卡 


255. 255. 0) ,默认 网 关 为 192. 168. 2. 1。 
配置 完成 后 应 观察 到 所 有 连接 线 的 圆 点 已 经 变 为 闪烁 的 绿色 ,这 表明 各 个 设备 都 已 经 
启动 了 网 络 连 接 。 
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2.2.2 利用 Packet Tracer 学 习 网 络 协议 分 析 


能 够 利用 Packet Tracer 来 学 习 网 络 协议 的 主要 原因 之 一 是 它 有 两 种 工作 模式 : 
Realtime mode( 实 时 模式 ) 和 Simulation mode( 模 拟 模式 )。 其 中 ,模拟 模式 能 够 将 网 络 工 
作 过 程 按照 数据 包 的 传送 过 程 用 动画 一 步 一步 地 展示 出 来 ,同时 可 以 随时 对 每 一 个 处 理 步 
又 的 协议 数据 包 的 PDU 构成 进行 直观 的 观察 。 该 软件 还 为 每 个 节点 在 每 一 层 协议 处 理 的 
具体 操作 配 有 文字 说 明 。 这 些 对 网 络 协议 初学 者 来 说 都 是 一 个 很 好 的 辅助 手段 。 

继续 在 如 图 2-5 所 示 的 网 络 基础 上 ,在 Packet Tracer 工作 窗口 中 单 击 Simulation mode 
按钮 区 | ,会 出 现 Event List 对 话 框 。 该 对 话 框 显 示 当 前 捕获 的 数据 包 的 详细 信息 ,包括 数 
据 包 出 现 的 时 间 、 上 一 个 设备 、 当 前 设备 ,协议 类 型 和 协议 详细 信息 ,如 图 2-8 所 示 。 











imulation Panel x 
spa FE 
Vis. Time(sec Last Device At Device Type Infe^ 

22.976 ”Switcho ”Router0 ARP 图 
22.977 Router0 ”Switcho ” ARP 图 
22.978 Switch0 PCO ARP 图 


22.979 PCO Switcho ”ICMP 国 
22.980 Switch0 。 Router0 ICMP 力 加 
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ACL Filter, ARP, BGP, CDF, DHCP, DNS, DTP, EIGRP, FTP, 一 
H. 323, HSRP, HTTP, MTTPS, ICMP, ICMPvS, IPSec, ISAKMP, 小 到 
LACP, WP, OSPF, PAgP, POP3, RADIVS, RIP, RIP, SCCP, 

SMTP, SNMP, SSH, STP, SYSLDG, TACACS, TCP, TFTP, Telnet, 

Wp, VIP 

[ 了 dit Filters 














图 2-8 Simulation mode 下 的 Event List 对 话 框 


单 击 Capture/Forward 按钮 会 产生 一 个 事件 ,连续 单 击 会 产生 一 系列 事件 ,以 描述 出 数 
据 包 的 传输 路 径 。 

单 击 Auto Capture/Play 按钮 ,会 自动 模拟 网 络 中 包 的 传输 。 

单 击 节点 设备 上 的 数据 包 或 者 单 击 Event List 中 协议 类 型 信息 Info 位 置 的 不 同 颜 色 
的 色 块 ,可 以 打开 PDU Information 对 话 框 ,如 图 2-9 所 示 。 在 这 里 可 以 看 到 数据 包 在 进入 
设备 和 出 设备 时 很 详细 的 基于 OSI 模型 各 层 协议 的 信息 变化 。 单 击 Edit Filters 按钮 ,可 以 
选择 过 滤器 ,从 而 只 在 Event List 中 列 出 需要 查看 的 协议 数据 包 。 这 对 于 观察 特定 协议 的 
工作 过 程 很 有 帮助 。 

在 OSI Model 选项 卡 中 ,阅读 OSI 模型 中 每 层 处 理 数据 包 的 说 明 信 息 ,对 理解 网 络 设 
备 或 软件 在 各 层 的 具体 工作 过 程 和 原理 非常 有 帮助 。 初 学 者 对 此 应 该 引起 重视 。 

在 Inbound PDU Details 和 Outbound PDU Details 选项 卡 中 ,可 以 分 别 看 到 进入 节点 
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PDU information at Device: PC1 守土 本 sa 二 回 


OSI Model | Inbound PDU Details | outbound PDU Details 


At Device: PC1 
Source: PCO 
Destination: 192.168.2.2 


In Layers Out Layers 





























Layer 3: IP Header Src. IP: 
192.168.2.2, Dest. IP: 
192.168.1.2 ICMP Message Type: 
0 


Layer 3: IP Header Src. IP: 
192.168.1.2, Dest. IP: 
192.168.2.2 ICMP Message Type: 
8 















Layer 2: Ethernet I Header 
0001.4306.A801 >> 
0001.C710.C3D8 


Layer 1: Port FastEthernet0 


Layer 2: Ethemet I Header 
0001.C710.C3D8 >> 
0001.4306.A801 


Layer 1: Port(s): FastEthernet0 




















1. The packet's destination IP address matches the device's IP address 
or the broadcast address. The device de-encapsulates the packet. 

2. The packet is an ICMP packet. The ICMP process processes it. 

3. The ICMP process received an Echo Request message. 





Challenge Me << Previous Layer| | Next Layer >> 





























图 2-9 PDU Information 对 话 框 的 OSI Model 选项 卡 


和 离开 节点 (节点 发 出 的 ) 的 数据 包 或 帧 格式 的 内 容 , 如 图 2-10 所 示 。 通 过 对 比 学 习 , 有 助 
于 了 解 各 协议 PDU 的 详细 信息 ,以 便 对 数据 包 作 更 细致 的 分 析 。 
































PDU Information at Device: PC1 :a 图 
QsiModel | Inbound PDU Details | Qutbound PDU Details | 
PDU Formats 
Ethernet I 
0 本 8 14 19 Bytes 












PREAMBLE: 
101010...1011 


SRC MAC: 
0001.C710.C3D8| 0001.4306.A801 





0 4 8 16 19 31 Bits 














0 8 16 31 Bits 
TYPE: 0x8 | CODE: 0x0 CHECKSUM 
ID: 0x4 SEQ NUMBER: 10 












































图 2-10 PDU Information 对 话 框 的 Inbound PDU Details 选项 卡 
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前 面 已 经 提 到 ,因为 与 真实 网 络 环境 的 差异 ,作为 教学 软件 的 Packet Tracer 对 各 协议 
PDU 的 分 析 有 不 完善 的 地 方 ,但 它 对 初学 者 了 解 协议 工作 过 程 和 PDU 的 构成 还 是 很 有 帮 
助 的 。 


C3 Wireshark 


对 学 习 网 络 协议 者 来 说 ,要 深入 理解 网 络 协议 ,不仅 需要 在 仿真 环境 下 ,更 需要 在 真实 
网 络 环境 中 观察 协议 的 工作 过 程 并 使 用 它们 , 即 观察 两 个 协议 实体 之 间 在 真实 的 通信 过 程 
中 交换 的 报 文 序列 ,探究 协议 操作 的 细节 ,使 协议 实体 执行 某 些 动作 ,观察 这 些 动作 及 其 
影响 。 


2.3.1 数据 包 嗅 探 器 Wireshark 


Wireshark 是 目前 最 流行 的 网 络 协议 分 析 器 ,原来 称 为 Ethereal, 它 是 开源 的 免费 软件 。 
在 过 去 ,网 络 封包 分 析 软 件 是 非常 昂贵 的 ,或 专门 属于 营利 的 软件 。Ethereal 的 出 现 改变 了 
这 一 切 。 在 GNU GPL(General Public License, 通 用 公共 许可 证 ) 的 保障 范围 下 ,使 用 者 可 
以 免费 取得 该 软件 与 其 源 代码 ,并 拥有 针对 其 源 代码 进行 修改 的 权利 。 因 此 Ethereal 很 快 
得 到 广泛 使 用 和 认可 。2006 年 , Ethereal 更 名 为 Wireshark。Wireshark 可 以 运行 于 
Windows、UNIX、Linux 等 操作 系统 上 ,可 以 从 http://www. wireshark. org 下 载 该 软件 。 
另外 ,不 少 Linux 的 安装 光盘 中 有 Wireshark 安装 文件 ,直接 安装 即 可 。Windows 版 本 安 
装 一 般 会 提示 要 安装 WinPcap ,用 户 无 须 单独 下 载 ,只 要 按照 安装 提示 操作 即 可 。 本 教程 使 
用 的 是 Wireshark version 1. 10.0。 

Wireshark 不 同 于 Sniffer Pro 这 样 的 收费 软件 可 以 更 改 数据 包 , 它 只 能 反映 出 目前 网 
络 上 传输 的 数据 包 信 息 , 自 身 也 不 会 提交 数据 包 到 网 络 上 。 因 此 , Wireshark 很 适合 进行 协 
议 分 析 和 网 络 数据 监控 等 应 用 。 当 然 , 它 也 十 分 适合 用 来 进行 网 络 协议 学 习 。 


2.3.2 Wireshark 的 工作 界面 


启动 Wireshark 程序 时 ,初始 工作 界面 如 图 2-11 所 示 。 在 这 里 可 以 通过 接口 列表 
(Interface List) 设 置 要 捕获 数据 包 的 接口 , 即 网 卡 、 捕 获 选 项 (Capture Options) .打开 数据 
包 文件 等 。 设 置 方式 可 以 直接 在 窗口 工作 区 中 单 击 ,也 可 以 通过 工具 栏 中 的 按钮 或 菜单 栏 
中 的 命令 来 设置 。 

运行 捕获 数据 包 后 的 界面 如 图 2-12 所 示 。Wireshark 的 界面 主要 有 以 下 5 个 组 成 部 分 。 

1) 菜单 栏 和 工具 栏 

菜单 栏 通常 用 来 启动 有 关 操 作 , 工 具 栏 提供 菜单 中 常用 项 目的 快速 访问 方式 。 

2) 过 滤器 栏 

在 该 处 填写 符合 Wireshark 规定 的 过 滤 规 则 表达 式 ,如 某 种 协议 的 名 称 或 IP 地 址 等 ， 
据 此 可 对 捕获 的 数据 包 进行 过 滤 ,只 显示 符合 条 件 的 分 组 。 

3) 包 列 表 窗 格 

包 列 表 窗 格 中 的 每 一 行 对 应 抓 包 文件 中 的 一 个 数据 包 。 不 同类 型 的 报 文 有 不 同 的 颜 
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图 2-11 Wireshark 工作 界面 


TT 





a 到 er Be Et Yew TP Gotue ray tatstrs Telephony Jocz ntoms Ho 
菜单 栏 和 工具 栏 了]| 可 总 大 一 区 | 马 马 % 多 | 从 刘 中 本 于 到 久久 癌 | 可 回电 其 | 加 


过 滤器 栏 一 > | ci San 


Tin ~ = | 
69 23.6304192.1 JOIP 74Echo (ping) reauest ids0x0200; seq=512/2, tt1a64 (reply 1 
69 JOWP ~ 74Echo (ping) reply ids0x0200, seq512/2, ttls252 (reques 














9 16 192. 
ede 70 24.6304 192,168,1.44 61,139.44.16 ICHP ~ 74 Echo (ping) request id-0x0200; seas768/3, tt]=64 
包 列 表 窗 格 71 1:634961.139.44.16 192.168,1.44 IOP 74 Echo (ping) reply 1ds0x0200, seqe768/3, tt]=252 (reques 
2 24.9995192.1681.44 123151-13.226 Von 97 Seurce port: terabase Destination port: rd 
.168.1. S 13,. 89 








Frane 69: 74 bytes on wire C2 bitsy, 74 Dyes cpured (592 bits) on fnterface © 
Ethernet II, Src: Tp-LinkT.99:d5:74 (00:1d:0f; i (00: 1a:: 
2 intemet prococe version 4s Sres G1139; 
9 Internet Control Message Protocol 

Moe: © Cecho (pin9) ey 

€ode’ 


包 明 细 窗 格 El 0x515c [correce) 


《ox0002 
Sequence nupber (BE); S12 tooaoo) 
SeGuenca mugber (LE): 2 (0x0002) 











[Respoase thine 
Data (32 bytes) 





27 as] 











0000 00 1a ad 6 53 ee 00 1d OFf 99 d5 74 O8 
i 
ec ec 
原 妇 0030 57 68 69 &a Eb 6c¢ 6d 6¢ 6f 70 71 72 
包 原 始 数据 窗 格 -|B8 务 禹 各 合生 车 委 千 名 
Te me me re rear Ger tA revise Ol Pes 


图 2-12 Wireshark 捕获 分 组 界面 


色 , 但 是 没有 明显 的 规律 ,用 户 可 以 自己 定义 。 如 果 选 择 了 一 行 , 则 其 更 详细 的 信息 将 显示 
在 包 明 细 窗 格 和 包 原 始 数 据 窗 格 中 。 

包 列表 窗 格 中 的 每 一 列 代表 捕获 的 一 个 包 的 有 关 属 性 的 摘要 信息 ,每 个 包 的 摘要 信息 
包括 以 下 几 项 。 
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Source: 包 的 源 地 址 。 
Destination: 包 的 目标 地 址 。 
Protocol: 包 协 议 的 缩写 。 
Length: 包 的 长 度 。 

。， Info: 包 内 容 的 附加 信息 。 


单 击 某 一 列 的 列 名 ,可 以 使 包 列表 按 指 定 列 排序 。 其 中 ,协议 类 型 是 发 送 或 接收 分 组 的 
最 高 层 协议 的 类 型 。 在 各 列 名 位 置 右 击 ,可 以 展开 一 个 可 用 的 上 下 文 快捷 菜单 ,其 中 有 各 种 


可 选 的 操作 ,包括 排序 。 
4) 包 明 细 窗 格 


它 也 可 称 为 包 解 析 窗 格 , 显 示 在 包 列 表 窗 格 中 被 选中 数据 包 的 详细 信息 ,包括 该 分 组 的 
各 个 层次 协议 的 首部 信息 及 数据 信息 。 包 的 协议 和 字段 用 树 型 格式 显示 , 单 击 每 行 前 的 


“十 "图标 ,可 以 展开 对 应 协议 层次 的 若干 行 ; 单 击 “ 一 ”图 标 ,又 可 以 收 
在 每 个 协议 行 中 会 显示 一 些 指定 的 协议 字段 。 


析 ] 中 显示 出 来 。 


缩 各 行 。 


其 他 包 的 链接 。 链 接 用 蓝 色 显 示 , 双 击 它 , Wireshark 将 跳 到 相应 的 包 。 


5) 包 原 始 数据 窗 格 


在 这 个 窗 格 中 分 别 以 十 六 进 制 ( 左 ) 和 ASCII 码 ( 右 ) 两 种 格式 显示 出 包 列表 窗 格 中 当 
前 选 定数 据 包 的 原始 报 文 的 数据 内 容 , 同 时 在 包 明 细 窗 格 中 选择 的 协议 字段 的 对 应 原始 数 
据 会 高 亮 显 示 。 观 察 包 原始 数据 可 以 更 直观 地 了 解 网 络 上 实际 传送 的 比特 流 , 有 助 于 理解 


网 络 工作 原理 和 协议 分 析 的 机 制 。 
2.3.3 Wireshark 抓 包 的 基本 操作 


无 论 是 通过 工作 区 还 是 工具 栏 按钮 ,或 者 菜单 栏 命令 来 抓 包 ,基本 都 是 按照 以 下 步骤 来 


进行 。 
1) 选择 抓 包 的 接口 


即 确定 在 本 机 的 哪个 网 络 接口 上 进行 抓 包 , 不 论 采 用 什么 方式 ,选择 Interfaces 都 会 弹 


出 抓 包 接口 对 话 框 ,如 图 2-13 所 示 。 


No: 抓 包 文件 中 包 的 编号 。 即 使 已 经 用 了 一 个 显示 过 滤器 ,其 编号 也 不 会 改变 。 
Time: 包 的 时 间 堆 , 即 捕获 该 包 的 时 间 。 该 时 间 戳 的 实际 格式 可 以 改变 。 


生成 的 字段 : Wireshark 自己 会 生成 附加 的 协议 字段 (用 括号 括 起 来 的 部 分 )。 这 些 
字段 的 信息 是 从 抓 包 文件 中 已 知 的 与 其 他 字段 的 上 下 文 推导 出 来 的 。 例 如 ， 
Wireshark 分 析 每 个 TCP 流 的 序列 号 /确认 号 时 ,会 在 TCP 协议 的 [SEQ/ACK 分 


链接 : 如 果 Wireshark 检测 到 抓 包 文件 中 存在 着 与 其 他 包 的 关系 ,就 会 产生 一 个 到 
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该 对 话 框 列 出 了 本 机 所 有 的 网 络 接口 及 其 基本 描述 , 勾 选 要 用 于 抓 包 的 接口 。 如 果 不 
需要 设置 抓 包 选项 , 则 直接 单 击 Start 按钮 ,就 可 以 启动 抓 包 。 

2) 设置 抓 包 选 项 

单 击 Options 按钮 ,可 以 打开 抓 包 选 项 ,以 设置 抓 包 过 滤器 ,保存 文件 .显示 方式 、 名 称 
解析 等 选项 ,如 图 2-14 所 示 。 





Interface Link-leyer hesderProm. NodeSnaplen [B]Buffer [NB] Capture Filter 
Viheare Network Adupter ViinetB 
192. 168. 190.1 - Ethernet ensbled 。 defanlt 2 
Fs 169. 1.44 Ethernet ‘enabled default 2 


Vihware Network Adapter Vilnetl 
1 8 Ethernet enabled default 六 


口 capture。 on all interfaces [manage Interfaces 


Vse promiscuous mode on all interfaces 

I 国 
Capture Fles Display Options 

File: yaate list of packets in resl tine 





























口 vse anltiple files 回 we pcsp-ng fornat Ts 
Went Elle wytr eb 














Oa capture infe dialog 


Name Resolution 





Resolve MAC sddresses 
口 Resolve aetverkrleyer nes 


Resolve transport-leyer nene 








回 wse sxternal network name resolver 


CC | 

















图 2-14 抓 包 选项 设置 


Capture Files 用 于 对 捕获 的 数据 包 的 保存 方式 进行 设置 。 当 选中 multiple files 时 ,如 
果 指 定 条 件 达 到 临界 值 , 则 Wireshark 会 自动 生成 一 个 新 文件 ,而 不 是 使 用 单独 的 一 个 文 
件 。 其 他 选项 同样 用 于 切换 到 新 文件 。 

Display Options 选项 可 以 选择 设置 实时 显示 、 自 动 更 新 面板 ,以 及 隐藏 捕 提 信息 对 话 

Name Resolution 用 于 设置 是 否 让 Wireshark 翻译 MAC 地 址 为 名 称 ,是否 允 许 
Wireshark 对 网 络 地 址 进行 解析 。 如 果 只 是 普通 使 用 ,如 用 于 学 习 协 议 , 则 可 以 不 进行 特别 
的 设置 ,而 直接 采用 默认 设置 。 

3) 设置 过 滤器 

在 Wireshark 实际 使 用 中 ,使 用 者 往往 只 关心 某 种 协议 类 型 或 者 只 是 和 某 个 节点 地 址 
有 关 的 包 , 这 时 过 滤器 的 设置 就 十 分 必要 了 。 

过 滤器 有 两 种 ,第 一 种 是 抓 包 过 滤器 ,用 来 设置 只 抓 取 感 兴趣 的 包 。 这 时 需要 在 启动 抓 
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包 前 先 定义 好 过 滤器 。 

在 图 2-14 中 单 击 Capture Filter 按钮 ,就 会 弹出 过 滤器 选项 对 话 框 ,如 图 2-15 所 示 。 
要 新 建 过 滤器 , 则 在 Filter name 文本 框 中 输入 过 滤器 名 称 , 在 Filter string 文本 框 中 输入 过 
滤器 字符 串 ,再 单 击 New 按钮 ,就 可 以 建立 一 个 过 滤器 。 捕 获 过 滤器 使 用 BPF (Berkeley 
Packet Filter, 伯 克利 包 过 滤器 ) 语 法 。BPF 语法 广泛 用 于 各 种 嗅 探 器 ,其 基本 形式 如 下 。 


src host 172.16.10.2 && port 23 
这 个 BPF 表达 式 的 含义 是 “ 源 地址 为 172. 16. 10. 2 且 端 口号 为 23”。 


Vireshark: Capture Filter ~ Profile: Default [| 区 | 


Edit Capture Filter 
Ethernet address 00:08:15:00:08:15 


Ethernet type Ox0806 (ARF) 
Wo Broadcast and no Nulticast 
No ABP 
IP address 192.168.1.44 
图 
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IPX only 

TCP only 

UDP only 
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HTTP TCF port (B80) 
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Non-NTTP and non-SHTP toy from www. wireshark org 















































图 2-15 抓 包 过 滤器 设置 


实际 上 使 用 得 更 多 的 是 显示 过 滤器 ,因此 这 里 对 BPF 语法 就 不 作 进 一 步 介 绍 了 。 如 有 
需要 ,可 以 查看 有 关 资 料 。 参 考 文献 [4] 中 有 相关 介绍 。 

第 二 种 对 过 滤器 的 设置 是 在 启动 抓 包 后 ,在 Wireshark 工作 界面 的 过 滤器 栏 中 直接 输 
人 ,这 就 是 显示 过 滤器 。 这 时 先 把 本 机 收 到 或 者 发 出 的 包 全 部 抓 下 来 ,再 使 用 显示 过 滤器 ， 
只 显示 想 要 查看 的 那些 类 型 的 数据 包 。 这 种 方式 更 常用 ,因为 不 仅 可 以 根据 需要 筛选 查看 
通信 过 程 中 其 他 的 数据 包 ,而且 还 可 以 防止 遗漏 实际 通信 过 程 中 的 任何 分 组 。 推 荐 在 实验 
时 采用 这 种 过 滤 方式 。 

最 简单 的 过 滤器 形式 是 只 查看 某 个 协议 的 数据 包 , 这 时 在 Wireshark 工作 界面 的 Filter 
中 直接 输入 协议 的 类 型 名 称 , 如 ICMP, 再 按 Enter 键 或 单 击 过 滤器 栏 上 的 Apply 按钮 ,这 
时 包 列 表 窗 格 中 将 只 显示 抓 包 期 间 捕获 的 所 有 ICMP 报 文 。 

如 果 对 数据 包 有 更 精细 的 筛选 要 求 , 则 可 以 使 用 下 面 的 操作 符 来 构造 显示 过 滤器 。 

eq 或 == 等 于 


ne 或 上 = 不 等 于 
gt 或 > 大 于 
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lt 或 < 小 于 

ge 或 >= 大 于 或 等 于 
le 或 <= 小 于 或 等 于 
例如 ， 


ip.addr == 172.16.10.2 (筛选 出 通信 地 址 包含 IP 地 址 为 172.16.10.2 的 包 ) 
ip.addr!= 172.16.10.2 (过 滤 掉 源 IP 地 址 为 172.16.10.2 的 包 ) 


frame. cap_len > 60 (筛选 出 帧 长 大 于 60B 的 包 ) 
frame.cap_len<60 (筛选 出 帧 长 小 于 60B 的 包 ) 
tcp. len>= 60 (筛选 出 TCP 段 的 数据 长 大 于 或 等 于 60B 的 包 ) 
tcp.len<=1 (筛选 出 TCP 段 的 数据 长 小 于 或 等 于 1B 的 包 ) 


注意 ,过 滤 表 达 式 “ip. addr! 王 172. 16. 10. 2” 并 不 表示 排除 通信 地 址 包含 172. 16. 10. 2 
的 包 ,因为 这 个 表达 式 被 解读 为 “该 包 包含 的 IP 字段 值 必 须 不 为 172. 16. 10. 2”。 由 于 一 个 
IP 数据 报 同 时 含有 源 地 址 和 目标 地 址 ,只 要 两 个 地 址 有 一 个 不 为 172. 16. 10. 2 就 为 真 。 实 
际 上 ,通常 是 先 判断 第 一 个 地 址 , 即 源 地址 ,从 而 无 法 过 滤 目 标 地 址 。 如 果 想 实现 过 滤 掉 通 
信 地 址 包含 172. 16. 10. 2 的 包 的 功能 ,应 当 写 为 *! (ip. addr 一 一 172. 106. 10.2)”。 

也 可 以 使 用 下 面 的 逻辑 操作 符 将 表达 式 组 合 起 来 。 


and 或 && 逻辑 与 
or 或 || 逻辑 或 
xor 或 ^^ 异 或 

! 逻辑 非 
例如 ， 


ip.addr == 172.16.10.2 and tcp.flag.fin==1 (筛选 出 包含 IP 地 址 172.16.10.2 且 TCP 连接 结束 

FIN 标志 为 1 的 包 ) 

ip.addr == 172.16.10.2 or ip.addr ==172.16.10.1 (筛选 出 包含 IP 地 址 172.16.10.2 或 172.16. 

10.1 的 包 ) 

!1llc (筛选 没有 使 用 LLC 协议 的 包 ) 

如 果 需 要 对 捕获 的 数据 包 按 字 节 位 置 或 比特 位 置 的 内 容 进行 过 滤 , 则 需要 采用 下 面 的 
格式 ,例如 : 


icmp[0:2] == 0800 


其 中 ,[n:m] 指 定 一 个 范围 。 在 这 种 情况 下 ,n 是 起 始 位 置 偏 移 ,m 是 从 指定 位 置 的 区 域 长 
度 。 该 例 表示 在 捕获 的 ICMP 报 文中 从 ICMP 的 PDU 中 偏 移 为 0 开始 取 两 个 字 节 ,将 匹配 
0800( 十 六 进 制 ) 的 报 文 筛选 出 来 。 

如 果 是 按 比特 筛选 , 则 要 用 符号 *&.” 来 指定 ,例如 ， 


tcp[13]82 


这 个 表达 式 表示 筛选 出 TCP 段 中 SYN 标志 位 的 数据 包 。 这 里 “13” 便 是 标志 位 在 
TCP 的 头 部 的 字 节 偏 移 位 置 (第 14 个 字 节 ), 用 “&2” 指 出 要 取 这 个 字 节 中 的 第 2 位 , 即 
SYN 标志 位 的 数据 包 。 

要 准确 运用 Wireshark 的 过 滤器 来 分 析 数 据 , 需 要 在 实际 使 用 中 逐步 地 熟悉 掌握 。 多 
数 时 候 , 过 滤器 的 编写 和 应 用 的 要 求 直 接 相关 , 当 有 需要 的 时 候 , 编 写 特别 的 过 滤器 才 成 为 


23 


24 


™ 


TCP/IP 协 议 分 析 教 程 与 实验 


急迫 的 要 求 。 因 而 初学 时 不 必 急 于 把 所 有 的 过 滤器 写法 都 掌握 住 。 

在 启动 抓 包 前 、 抓 包 过 程 中 或 停止 抓 包 后 ,都 可 以 在 Wireshark 工作 界面 的 过 滤器 栏 中 
输入 过 滤 表 达 式 。 

要 想 查看 抓 包 过 程 中 其 他 类 型 的 数据 包 , 只 需 删 除 过 滤 表 达 式 ,或 输入 新 的 表达 式 后 按 
Enter 键 即 可 。 更 简单 的 做 法 是 单 击 过 滤器 栏 的 Clear 按钮 ,以 清除 过 滤 条 件 。 

Expression 按钮 提供 了 一 个 帮助 编写 过 滤器 的 辅助 手段 ,主要 涉及 各 种 协议 字段 的 、 较 
复杂 的 表述 ,这 里 不 详 述 。 

Wireshark 的 易 用 性 很 好 , 当 在 过 滤器 栏 输入 的 表达 式 是 正确 的 时 候 将 显示 绿色 背景 ， 
如 果 显 示 红色 背景 , 则 说 明 表达 式 是 错误 的 。 同 时 ,协议 字段 的 表述 提供 了 智能 提示 功能 ， 
当 输入 部 分 字符 时 ,输入 栏 的 下 拉 列 表 中 会 有 字段 的 合法 表述 供 选 择 。 

本 书 将 以 Wireshark 作为 主要 的 协议 分 析 学 习 工 具 , 主 要 是 利用 Wireshark 的 抓 包 和 
协议 解析 功能 ,对 其 他 的 功能 ,如 数据 包 的 统计 分 析 等 , 则 没有 涉及 。 


@.4 GNS3 


GNS3 是 一 种 可 以 仿真 复杂 网 络 的 图 形 化 网 络 模拟 器 , 它 能 够 提供 一 种 类 似 虚 拟 机 软 
件 的 高 仿真 网 络 环 境 , 为 网 络 实验 和 科学 研究 提供 了 一 个 有 效 的 辅助 手段 。 对 学 习 协 议 来 
说 ,可 以 用 于 模拟 较 复杂 的 网 络 环境 。 但 GNS3 对 系统 资源 占用 较 大 ,需要 较 高 的 机 器 配置 
才能 流畅 运行 。GNS3 的 使 用 涉及 的 内 容 较 多 ,本 书 只 作 一 般 介绍 。 

GNS3 主要 是 在 计算 机 中 运行 Cisco 公司 的 IOS(Internet Operating System) ,通过 
Dynamips 仿真 IOS 的 核心 程序 ,进一步 在 Dynamips 上 运行 Dynagen。GNS3 其 实 是 
Dynagen 的 图 形 化 前 端 环境 工具 软件 ,而 目的 是 提供 更 友好 的 、 基 于 文本 的 用 户 界面 。 用 户 
利用 Dynagen 可 以 创建 类 似 于 Windows 的 INI 类 型 文件 所 描述 的 网 络 拓扑 ,GNS3 再 将 有 
关 工 作 以 图 形 化 的 方式 展示 出 来 。 

GNS3 允许 在 Windows、Linux 系统 上 仿真 IOS, 其 支持 的 路 由 器 平台 、 防 火 墙 平台 
(Cisco PIX 系列 ) 的 类 型 非常 丰富 。 通 过 在 路 由 器 插 槽 中 配置 上 EtherSwitch 卡 ,也 可 以 仿 
真 该 卡 所 支持 的 交换 机 平台 。 目 前 市 面 上 有 不 同类 型 的 多 种 路 由 器 模拟 器 ,但 支持 的 路 由 
器 命令 较 少 ,在 进行 相关 实验 时 经 常 发 现 这 些 模拟 器 不 支持 某 些 命令 或 参数 ,如 Cisco 
Packet Tracer。 用 户 使 用 这 些 模 拟 器 通常 只 能 看 到 所 模拟 路 由 器 的 输出 结果 。 在 GNS3 
中 ,所 运行 的 是 实际 的 1OS, 能 够 使 用 IOS 所 支持 的 所 有 命令 和 参数 ,观察 到 的 路 由 器 行为 
和 输出 结果 都 和 真实 设备 几乎 完全 一 样 。 

GNS3 是 一 款 开 源 软件 .不 用 付费 就 可 使 用 。 其 官方 网 站 为 http://www. gns3. net, 在 
这 里 可 以 下 载 安装 GNS3 所 需 的 各 个 程序 。 在 Windows 环境 下 更 简便 的 是 直接 下 载 一 个 
捆绑 好 的 安装 包 , 如 GNS3-0. 8. 3. 1-all-in-one. exe。 但 是 ,Cisco IOS 的 使 用 需要 符合 Cisco 
公司 的 版 权 规定 。 因 此 ,GNS3 安装 程序 中 不 包含 IOS 映像 文件 ,需要 单独 获取 。 网 络 上 能 
够 获得 部 分 可 供 GNS3 使 用 的 Cisco IOS。 另 外 ,用 户 也 可 以 将 已 有 的 Cisco 路 由 器 的 IOS 
映像 通过 TFTP 导出 来 供 GNS3 使 用 。 
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2.4.1 GNS3 安装 和 配置 


下 面 以 Windows 系统 下 安装 GNS3 为 例 , 简 要 说 明 其 安装 方法 。 双 击 所 下 载 的 GNS3- 
0. 8. 3. 1-all-in-one. exe, 开 始 安装 GNS3。GNS3 需要 其 他 软件 的 支持 才能 正常 运行 ,包括 
WinPCAP、Wireshark、Dynamips 和 Pemu 等 ,如 图 2-16 所 示 。 上 默认 情况 下 ,这 些 软件 将 被 
选中 。 如 果 系 统 中 已 安装 有 Wireshark, 那 么 WinPCAP 也 一 定 已 经 安装 过 ,这 两 个 软件 可 
以 不 再 安装 。 其 余 安 装 过 程 按照 提示 操作 即 可 。GNS3 有 汉化 包 供 下 载 安 装 。 


国 GNs3 08315 
Choose Components | 
Choose which features of GNS3 0.8.3.1 you want to instal. 本 | 








Check the components you want to install and uncheck the components you don't want to 
install, Click Next to continue. 








| 全 | | posktion your mouse 
Wireshark 1.6.8 over a component to 
Dynamips 0.2.8 RC3 (| See ts description, 
Dynamips 0.2.8 RC4 (| 
Qemu 0.11.0 patched| 
Pemu 








Select components to install: 
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当 安 装 程序 提示 安装 完成 第 一 次 启动 GNS3 后 ,还 需要 完成 配置 IOS 映像 后 才能 真正 
使 用 GNS3。 

第 一 次 启动 GNS3 时 会 有 一 个 配置 提示 窗口 ,其 中 有 标示 着 数字 1 一 3 的 3 个 按钮 , 逐 
一 单 击 完成 配置 。 其 中 涉及 工程 目录 、 查 找 OS 路 径 .Dynamips 有 关 路 径 、Wireshark 有 关 
路 径 等 , 单 击 相应 的 选项 卡 , 确 认 或 修改 即 可 。 要 特别 注意 的 是 IOS 的 配置 。 

如 前 所 述 ,必须 准备 好 自己 的 Cisco IOS 映像 。 先 将 IOS 映像 文件 复制 到 GNS3 工作 
目录 中 事先 建 好 的 目录 下 (注意 要 与 上 面 提 到 的 查找 OS 路 径 设置 一 致 ) ,然后 进行 配置 。 
也 可 以 打开 GNS3 的 Edit 菜单 ,选择 IOS images and hypervisors 命令 ,打开 IOS 配置 对 话 
框 ,如 图 2-17 所 示 。 

在 该 IOS Images 选项 卡 的 Image file 处 , 单 击 文本 框 后 的 按钮 ,可 以 查找 自己 所 准备 
的 IOS 映像 文件 ,这 时 Platform 和 Model 为 选择 IOS 映像 文件 所 对 应 的 路 由 器 型 号 。 该 
对 话 框 上 部 为 已 配置 好 的 GNS3 可 使 用 的 IOS 映像 。 默 认 内 存 值 不 必修 改 。IDLE PC 的 
参数 值 非常 重要 ,可 稍 后 设置 。 最 后 单 击 Save 按钮 ,保存 配置 。 
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127.0.0.1:CA\Users YC\GNS3\Images\c1700-bk9no3r2sy7-mz.123-Timage 。 3725 
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图 2-17 GNS3 的 IOS 映像 文件 配置 


2.4.2 GNS3 的 使 用 


GNS3 的 基本 操作 较 简 便 、 直 观 。 下 面 对 使 用 中 要 注意 的 地 方 做 简要 介绍 。 

一 般 来 说 ,要 新 建 网 络 拓扑 都 是 先 新 建 工 程 , 系 统 会 将 网 络 拓扑 和 网 络 设备 的 有 关 设 置 
都 存放 在 工程 文件 夹 中 ,这 样 便于 文件 的 管理 。 新 建 工 程 时 要 注意 色 选 对 话 框 保存 时 的 选 
项 Save nvrams including EtherSwitch VLANs and crypto keys, 如 图 2-18 所 示 。 设 备 配置 
好 后 执行 保存 操作 ,下 次 启动 时 工程 内 做 好 的 配置 才 不 会 丢失 。 








Project settings 





Project nane: 





Project directory: C:\sers\JC\GRS3\Projects 


Save nvrans including EtherSwiteh VLANs and crypto keys 


Ynbsse inages when saving (required to share a project that uses Qenu) 











Save traffic captures 











图 2-18 新 建 工程 时 选择 保存 配置 


GNS3 工作 界面 如 图 2-19 所 示 。GNS3 的 拓扑 操作 十 分 简便 ,将 选择 的 节点 从 左 侧 列 
表 中 拖 人 工作 区 ,然后 在 左 侧 列表 中 单 击 连 线 按钮 ,选择 合适 的 连 线 接口 , 即 可 将 各 个 节点 
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连接 起 来 。 右 击 网 络 设备 节点 会 弹出 设备 操作 快捷 菜单 ,可 以 对 设备 进行 配置 ,如 在 路 由 器 
中 添加 模块 。 启 动 控 制 台 操作 模式 可 以 完全 模拟 真实 的 路 由 器 控制 台 操作 界面 。 





Device Annotate Jools Help 


Gr 总 国 > 二 名 而 鲍 令 


“^| Captures 
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Hostnane 。 Interface 











[Console 








GNS3 nanagenent console. Running GNS3 version 0.8.7. 
Copyright (ce) 2006-2013 GNS3 Project. 


起 

















图 2-19 GNS3 工作 界面 


连接 配置 好 网 络 设备 后 ,就 可 以 启动 网 络 设 备 了 。 可 以 右 击 每 个 设备 ,在 弹出 的 快捷 菜 
单 中 选择 启动 设备 ; 也 可 以 在 窗口 的 工具 栏 中 单 击 鹏 按钮 ,启动 所 有 设备 。 启 动 正常 的 情 
况 下 ,设备 连 线 两 端的 圆 点 是 绿色 的 。 

接 下 来 一 个 非常 重要 的 操作 是 确定 并 设置 IDLE PC. 这 直接 影响 着 软件 的 运行 效果 。 
没有 设置 IDLE PC,GNS3 可 能 就 没有 办 法 运行 ! 右 击 工作 区 中 的 路 由 器 图 标 , 选 择 IDLE 
PC 命令 。GNS3 将 花费 一 段 时 间 来 计算 一 个 IDLE PC 值 ,然后 会 出 现 相 应 的 提示 信息 ,可 
看 到 多 个 可 能 的 IDLE PC 值 , 较 好 的 可 用 IDLE PC 值 前 会 打上 星 号 ,如 图 2-20 所 示 。 选 择 
一 个 带 星 号 的 IDLE PC 值 并 单 击 OK 按钮 。 如 果 没 有 带 星 号 的 IDLE PC 值 , 则 可 以 反复 
计算 几 次 。 若 还 是 没有 标记 星 号 的 值 , 则 可 以 选择 数值 最 大 的 IDLE PC 值 。 











图 2-20 GNS3 的 IDLE PC 设置 
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GNS3 中 有 多 种 方法 可 以 添加 主机 (PC)。 最 方便 的 做 法 是 使 用 路 由 器 模拟 PC, 即 将 
路 由 器 配置 为 非 路 由 工作 状态 ,这 适合 比较 简单 的 场合 。 在 更 多 需要 的 情况 下 ,使 用 虚拟 机 
或 真实 的 PC 都 是 可 以 的 。 需 要 了 解 具体 配置 的 读者 可 以 查阅 相关 资料 。 本 书 实验 5-3 采 
用 了 VPCS(Virtual PC Simulator, 虚 拟 计算 机 模拟 器 ) 来 添加 PC。 

抓 包 是 获取 协议 具体 数据 的 方式 ,也 是 了 解 网 络 工作 过 程 的 手段 。GNS3 下 的 抓 包 整 
合 了 Wireshark ,可 以 在 每 个 节点 上 对 任 一 连接 链 路 抓 包 。 图 2-21 所 示 显 示 了 对 路 由 器 R3 
连接 R4 和 SW1 的 两 个 连接 链 路 进行 抓 包 选择 。 另 外 ,也 可 以 直接 在 连接 线 上 右 击 ,启动 
对 链 路 的 抓 包 。 





ostnane 





Please choose a link 


ED ES 

















图 2-21 GNS3 的 抓 包 设置 


选择 好 抓 包 接口 后 , 单 击 OK 按钮 。 如 果 在 GNS3 首选 项 中 抓 包 软件 配置 正确 ,此 时 会 
启动 Wireshark 进行 抓 包 ,就 和 真实 网 络 环境 中 的 一 样 。 


@.5 Sniffer Pro 


Sniffer Portable Professional 是 一 款 卓 越 的 便携 式 网 络 和 应 用 故障 诊断 分 析 软 件 , 属 于 
Sniffer 系列 产品 中 的 一 款 。Sniffer 商标 现在 由 NetScout 公司 持 有 。 用 户 可 以 访问 
http://www. netscout. com 或 NetScout 公司 代理 商 网 站 获得 产品 信息 。Sniffer Pro 功能 
强大 ,特别 适合 网 络 管理 员 用 来 进行 实时 的 网 络 监视 ,数据 包 捕 获 及 故障 诊断 分 析 。 近 年 
来 , 它 更 是 强化 了 在 无 线 网 络 领域 的 应 用 。 当 然 ,Sniffer Pro 也 可 以 用 来 进行 网 络 协议 的 学 
习 , 但 因为 它 是 一 款 商业 软件 ,所 以 更 适合 专业 网 络 管理 或 协议 分 析 者 使 用 。 因 此 ,本 节 只 
对 其 基本 特点 作 简单 介绍 。 

Sniffer Pro 的 主要 特性 包括 : 便携 式 软件 , 接 入 灵活 ,操作 方便 ; 提高 网 络 和 应 用 的 故 
障 诊断 速度 ; 仪表 板式 图 形 化 分 析 界 面 ,并 关联 至 深入 的 数据 包 分 析 ; 在 同一 平台 上 支持 
有 线 和 无 线 网 络 分 析 ; 具备 一 流 的 网 络 和 应 用 分 析 功 能 ; 具有 智能 化 的 专家 分 析 系 统 , 协 
助 用 户 在 进行 数据 包 捕 获 、 实 时 解码 的 同时 快速 识别 各 种 异常 事件 ; 数据 包 解 码 模块 支持 
广泛 的 网 络 和 应 用 协议 ,不 限于 Oracle, 还 包括 VoIP 类 协议 ,以 及 金融 行业 专用 协议 和 移 
动 网 络 类 协议 等 。Sniffer Pro 提供 直观 易 用 的 仪表 板 和 各 种 统计 数据 .逻辑 拓扑 视图 ,并 且 
提供 能 够 深入 到 数据 包 的 点 击 关 联 分 析 能 力 。 它 在 同一 平台 上 支持 10/100/1000Mb/s 以 
太 网 及 802. 11 a/b/g/n 网 络 分 析 。 

Sniffer Pro 的 主要 应 用 环境 包括 : 网 络 流量 分 析 、 网 络 故障 诊断 ; 应 用 系统 流量 分 析 及 
故障 诊断 ; 网 络 病毒 流量 、 异 常 流量 检测 ; 无 线 网 络 分 析 、 非 法 接 入 设备 检查 ; 网 络 安全 检 
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查 、 网 络 行为 审计 等 。 

从 使 用 的 角度 看 ,Sniffer Pro 相 比 Wireshark, 除 了 捕获 数据 包 、 解 析 数 据 包 等 基本 功 
能 外 ,主要 是 增加 了 编辑 发 送 数据 包 、 更 强大 的 网 络 数 据 统计 和 监视 功能 ,并 设计 有 直观 的 
图 表 , 以 满足 网 络 管理 和 分 析 的 需要 。 


@.6 科 来 网 络 分 析 系 统 


科 来 软件 是 2003 年 创立 的 、 位 于 成 都 高 新 区 的 中 国 公司 ,是 以 网 络 分 析 为 核心 的 产品 
提供 商 和 服务 提供 商 。 科 来 网 络 分 析 系统 是 一 个 集 数据 包 采 集 、 解 码 .协议 分 析 、 统 计 、 日 志 
图 表 等 多 种 功能 于 一 体 的 综合 网 络 分 析 系 统 。 它 可 以 帮助 网 络 管理 员 进 行 网 络 监测 、 定 位 
网 络 故障 ,排查 网 络 内 部 的 安全 隐患 等 。 科 来 网 络 分 析 系 统 曾 获 美 国 PC Magazine 评选 的 
“2012 年 度 最 佳 产品 ”。 

科 来 网 络 分 析 系 统 能 够 进行 全 实时 的 采集 一 分 析 一 统计 处 理 , 不 需要 再 进行 其 他 的 后 
期 处 理 , 就 能 够 即时 地 反映 网 络 的 通信 状况 。 科 来 网 络 分 析 系 统 有 数据 包 解 码 功 能 ; 针对 
常用 网 络 协 议 设计 的 高 级 分 析 模 块 ; 网 络 通信 协议 和 网 络 端 点 的 数据 统计 ; 独创 的 协议 、 
端点 浏览 视图 结构 ; 丰富 的 图 表 功 能 。 

科 来 网 络 分 析 系 统 作 为 一 款 网 络 管理 工具 ,可 以 帮助 企业 网 络 管理 者 完成 以 下 工作 。 

。 网 络 流量 分 析 。 

。 网 络 错误 和 故障 诊断 。 

。 网 络 安 全 分 析 。 

。 网 络 性 能 检测 。 

。 网 络 协议 分 析 。 

。 网 络 通信 监视 。 

网 络 分 析 工 具 的 配备 可 以 从 本 质 上 检测 到 网 络 中 的 问题 ,协调 和 支持 各 种 网 络 管理 工 
具 的 使 用 ,并 最 大 限度 地 完善 网 络 管理 。 

科 来 网 络 分 析 系 统 对 运行 系统 环境 有 一 定 的 要 求 ,支持 Windows 系列 操作 系统 及 
64 位 版 本 ,最 低 配 置 为 CPU P4 2. 8GHz, 内存 2GB, 推 荐 配置 为 CPU Intel Core Duo 
2.4GHz, 内 存 4GB 或 更 高 。 

从 科 来 软件 网 站 (http://www. colasoft. com. cn/) 可 以 免费 获得 科 来 网 络 分 析 系 统 技 
术 交 流 版 ,无 须 注 册 即 可 下 载 安装 试用 。 技 术 交 流 版 主要 是 限制 了 软件 的 工作 性 能 ,如 节点 
数量 等 ,适用 于 个 人 网 络 分 析 技 术 的 学 习 、 交 流 。 企 业 用 户 可 以 申请 评估 版 或 购买 软件 。 目 
前 最 新 的 技术 交流 版 有 8. 1( 支 持 64 位 系统 ) 和 8. 0( 支 持 32 位 系统 ) 两 个 版 本 ,读者 可 以 根 
据 自 己 的 系统 情况 选择 下 载 。 

科 来 网 络 分 析 系统 在 功能 和 特性 上 主要 表现 为 采用 分 析 引 导 ,可 自 定义 分 析 模 式 ,系统 
提供 实时 分 析 和 回放 分 析 两 种 分 析 模 式 ,方便 用 户 进行 实时 数据 采集 及 回溯 分 析 ; 提供 6 
个 网 络 分 析 方 案 , 包 括 全 面 分 析 、 高 性 能 分 析 、HTTP 应 用 分 析 、FTP 应 用 分 析 、DNS 应 用 
分 析 及 邮件 分 析 ; 可 根据 用 户 实际 网 络 环境 及 分 析 需 求 .新 建 、 编 辑 或 复制 网 络 档案 ,以 达 
到 快速 ,准确 的 分 析 目 的 ; 支持 自 定义 协议 ; 支持 在 线 实时 报警 ,用 户 可 自 定义 各 种 类 型 的 
报警 条 件 ,并 以 醒目 的 方式 提醒 管理 员 当 前 的 网 络 事件 ; 增加 了 TCP 会 话 时 序 图 ,可 有 效 
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展现 TCP 连接 通信 双方 的 SYN 和 ACK 响应 状态 ; 提供 用 户 自 定义 图 表 功 能 ,为 用 户 提供 
丰富 的 图 形 化 实时 监控 ; 提供 增强 的 矩阵 视图 ,可 直观 显示 通信 会 话 信息 ; 提供 全 局 日 志 
汇总 显示 ; 可 按 协 议 的 实际 封装 顺序 层次 化 地 显示 通信 协议 ,为 不 同 的 协议 赋予 不 同 的 色 
彩 ,并 增加 了 物理 端点 与 IP 端点 子 视图 。 

科 来 网 络 分 析 系 统 的 运行 界面 如 图 2-22 所 示 。 


[ea 7EETEETTEEGTSSHGRSTEEESTE 














图 2-22 科 来 网 络 分 析 系统 的 运行 界面 


在 图 2-22 的 数据 包 列表 窗 格 中 双击 数据 包 , 就 会 弹出 数据 包 解 码 窗口 ,如 图 2-23 所 
示 。 从 中 可 以 看 到 ,这 个 界面 和 其 他 抓 包 分 析 软 件 的 很 相似 ,如 Wireshark 。 


| 


| 上 本 天 地 址 [Sogrce Xoaress]: 6 
二 四 功 议 类 型 [Protocol]: om (Internet IP(IPv4)) (12/2] 
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上 -加 头 部 长 度 [Header Lengch]: (20 字 节 ) [14/1] 0x0F 
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上 -各 不 同 的 服务 代码 [Differenriared Services Codepoint]: 项 {15/1] Orc 

Le feedip MA cn [renepere Brotocol will ignore the CE bit]: .... .0. (起 路 ) (15/1] 0x02 

i (不 后 者】 [15/1] 0x01 

(52 字 节 ) [16/2] 
(16742) 118/2] 
(下 要 分 最 ) [20/1] oxE0 
120/11 Ox80 
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&7 小 结 


(1) 各 种 协议 分 析 工 具 是 学 习 网 络 协议 工作 原理 的 有 力 帮 助 。 

(2) 协议 分 析 工具 的 基本 原理 是 数据 包 嗅 探 , 即 通过 将 网 络 接口 卡 设置 为 混杂 模式 ,以 
捕获 整个 网 络 中 传输 的 数据 包 , 再 把 数据 包 中 报 文 的 所 有 字段 以 用 户 可 读 的 PDU 格式 解 
析出 来 ,供用 户 分 析 。 

(3) Cisco Packet Tracer 是 Cisco 网 络 技 术 学 院 的 模拟 学 习 工 具 , 能 够 方便 地 构建 模拟 
实验 网 络 ,观察 协议 数据 包 的 模拟 传输 和 PDU 格式 ,在 网 络 协议 初学 时 使 用 很 有 帮助 。 

(4) 要 观察 真实 网 络 中 实际 传输 的 各 种 数据 包 需 要 借助 Wireshark 这 样 的 嗅 探 器 。 只 
需要 在 链 路 节点 上 运行 Wireshark ,指定 抓 包 的 接口 就 可 以 捕获 数据 包 。 通 过 设置 过 滤器 
可 以 筛选 出 满足 指定 条 件 的 数据 包 来 观察 分 析 。 

(5) GNS3 可 以 实现 高 仿真 的 网 络 实验 环境 ,在 学 习 或 研究 较 复杂 的 网 络 状况 时 能 够 
提供 便捷 的 支持 。 

(6) Sniffer Pro 和 科 来 网 络 分 析 系 统 等 软件 可 以 满足 专业 的 工程 应 用 要 求 。 


@.8 习题 


1. 在 Cisco Packet Tracer 中 用 双 绞 线 连接 不 同 设备 时 要 注意 什么 ? 

2. 在 Packet Tracer 中 为 1841 路 由 器 添加 串 行 口 模块 ,然后 用 串 行 线 把 两 个 路 由 器 连 
接 起 来 ,要 怎么 操作 ? 

3. 使 用 Wireshark 在 自己 的 计算 机 上 捕获 浏览 网 页 时 产生 的 数据 包 。 怎 样 才能 只 查 
看 访问 指定 网 站 (如 www. xinhuanet. com) 的 数据 包 呢 ? 

4. 在 Wireshark 中 写 出 这 样 的 显示 过 滤器 : 筛选 出 包含 有 IP 地 址 为 172. 16. 10. 3 且 
TCP 头 部 中 的 PUSH 位 置 1 的 数据 包 。 


实验 


实验 2-1 Packet Tracer 6.0 的 使 用 
1. 实验 说 明 


通过 在 Packet Tracer 6. 0 中 添加 网 络 设备 ,熟悉 不 同 的 物理 设备 及 其 连接 方式 ,掌握 
使 用 Packet Tracer 6. 0 构建 网 络 的 方法 ,掌握 捕获 .查看 通信 信息 的 方法 。 


2. 实验 环境 





Windows 操作 系统 ,安装 有 Packet Tracer 6.0。 
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3. 实验 步骤 


步骤 1 打开 Packet Tracer 6.0, 添 加 以 下 网 络 节点 : 1841 路 由 器 3 台 ,2950-24 交换 
机 1 台 ,PC 3 台 , 服 务 器 1 台 。 

步骤 2 选择 合适 的 连接 线 把 设备 连接 起 来 。 

以 太 网 连 线 时 ,交换 机 与 计算 机 或 路 由 器 等 设备 之 间 连 接 用 直通 线 , 交 叉 线 用 于 同 种 设 
备 (交换 机 与 交换 机 、 路 由 器 与 路 由 器 ) 之 间 相 连 或 计算 机 与 路 由 器 之 间 相 连 。 

用 直通 线 把 PC0、PC1、 Router0 与 Switch0 的 任意 端口 连接 , Router0、 Routerl 和 
Router2 之 间 需 要 用 交叉 线 连接 ,Server0 与 Router2 也 要 用 交叉 线 连接 。 

如 果 连 线 类 型 正确 , 则 PC 与 交换 机 之 间 连 线 上 的 绿灯 会 马上 点 亮 。 

特别 的 ,为 配置 路 由 器 ,可 以 用 控制 台 连 线 把 PC2 和 Routerl 的 Console 端口 连接 起 
来 ,也 可 以 连接 到 Routerl 的 Auxiliary 端口 上 ,但 使 用 方法 与 连接 到 控制 口 时 不 同 。 

连接 好 后 的 网 络 逻辑 结构 如 图 2-24 所 示 。 


192.168.2.1/24 192.168.3.1/24 192.168.3.2/24 
192.168.2.2/24 










1841 
outer0 Router2 
192.168.1.1/24 192.168.4.1/24 \ 






2 @ 

PC-PT 2950-24 PC-PT PC-PT Server-PT 
PC0 Switch0 PC1 PC2 Server0 

192.168.1.2/24 192.168.1.3/24 。 192.168.3.3/24 192.168.4.2/24 


图 2-24 Packet Tracer 实验 图 


步骤 3 配置 设备 。 

PC 的 配置 可 以 直接 在 Packet Tracer 6.0 的 逻辑 拓扑 图 上 单 击 PC 图 标 ,打开 设备 配置 
窗口 , 单 击 Desktop 选项 卡 中 的 IP Configuration, 完 成 默认 网 关 和 IP 地 址 的 设置 。 按 
图 2-24 中 标示 出 的 网 络 地 址 依次 设置 3 台 PC 和 Server0 的 IP 地址 ,PC0 和 PC1 的 默认 网 
关 设 为 192. 168. 1. 1,Server0 的 默认 网 关 设 为 192. 168. 4. 1 。 

路 由 器 的 配置 可 以 通过 连接 在 Console 口 的 PC 来 进行 ,也 可 以 直接 通过 Packet 
Tracer 提供 的 界面 来 进行 。 这 里 只 做 最 简单 的 基本 配置 。 直 接 单 击 需 要 配置 的 路 由 器 图 
标 , 如 Router0 ,打开 设备 配置 窗口 , 单 击 CLI 选项 卡 , 按 Enter 键 出 现 命令 行 提 示 符 ,然后 
使 用 如 下 命令 配置 静态 路 由 。 

















Router > enable # 进入 特权 模式 
Router # configure terminal # 全 局 配置 
Router(config) # int £0/0 # 配置 接 口 fo/0 
Router(config— if)#no shutdown # 开启 接口 


Router(config— if)# ip address 192.168.1.1 255.255.255.0 


随 着 接口 no shutdown 命令 的 输入 ,接口 连 线 上 的 绿灯 随即 变 亮 。 
按 图 2-24 所 示 配 置 路 由 器 接口 的 IP 地 址 ,配置 好 3 台 路 由 器 。 配 置 好 后 ,路 由 器 双 绞 
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线 上 的 绿灯 都 会 点 亮 。 
Router(config - if)#exit 井 退出 接口 配置 
Router(config) 井 ^2Z # 退 出 特权 模式 ,保存 配置 


类 似 地 ,依次 完成 对 各 个 路 由 器 接口 的 配置 并 保存 整个 拓扑 文件 ,以 备 后 面 的 学 习 。 

步骤 4 查看 通信 信息 。 

确认 Packet Tracer 工作 在 Realtime mode( 实 时 模式 ) , 单 击 PC0 图 标 , 在 Desktop 选 
项 卡 中 双击 Command Prompt 图 标 ,打开 命令 行 窗口 ,输入 命令 : 


PC> ping 192.168.2.2(Routerl fa0/0 接口 IP 地 址 ) 


观察 命令 执行 结果 ,可 以 看 到 网 络 图 示 中 的 绿灯 有 闪 动 ,命令 行 窗口 中 会 输出 提示 信息 
“Request timed out” ,重复 执行 会 发 现 不 能 ping 通 目标 IP。 

在 Packet Tracer 工作 窗口 中 单 击 Simulation mode 图 标 ,会 出 现 Event List 对 话 框 ,再 
次 输入 上 面 的 ping 命令 ,该 对 话 框 会 显示 当前 捕获 的 数据 包 的 详细 信息 ,包括 数据 包 出 现 
的 时 间 、 上 一 个 设备 .当前 设备 .协议 类 型 和 协议 详细 信息 , 单 击 Info 字段 处 的 彩色 图 块 ,可 
以 查看 该 处 数据 包 在 网 络 各 层 的 处 理 情况 。 通 过 查看 分 析 数 据 包 在 网 络 各 层 的 处 理 说 明 ， 
可 以 知道 网 络 通信 在 什么 环节 发 生 了 什么 问题 ,进而 处 理 、 解 决 网 络 设备 或 配置 上 的 问题 。 
需要 注意 的 是 ,网 络 中 各 种 设备 间 会 有 并 不 需要 考查 的 数据 包 在 传送 。 例 如 ,这 里 要 考查 的 
是 ICMP 数据 包 , 但 网 络 中 会 有 STP 协议 通信 的 包干 扰 观察 。 这 时 可 以 单 击 Edit Filters 
按钮 ,设置 过 滤器 ,使 得 Event List 对 话 框 中 只 显示 ICMP 报 文 。 

下 面 结合 实验 来 学 习 通 过 分 析 捕 获 的 数据 包 的 详细 信息 ,以 解决 网 络 的 连通 问题 。 

步骤 5 观察 默认 网 关 设 置 的 作用 。 

在 Packet Tracer 工作 窗口 中 单 击 Simulation mode 图 标 ,然后 将 PC0 的 默认 网 关 192. 
168.1.1 设置 清空 ,输入 命令 : 


PC> ping 192.168.2.2 


查看 网 络 上 PC0 处 的 信封 图 标 上 有 个 红色 的 叉 , 单 击 Event List 对 话 框 中 捕获 的 
ICMP 数据 包 的 Info 图 块 ,打开 PDU Information 对 话 框 ,查看 OSI Model 选项 卡 , 如 
图 2-25 所 示 。 仔 细 阅 读 选项 卡 下 部 的 说 明文 字 , 可 以 了 解数 据 包 的 详细 处 理 过 程 ,这 其 实 
就 是 应 用 程序 和 协议 栈 各 层 对 PDU 的 处 理 流程 描述 。 这 里 只 看 到 了 Layer 3 ,说 明 在 PC0 
处 网 络 层 的 处 理 就 停 下 了 ,根本 没有 封装 网 络 接口 层 的 数据 帧 去 传送 。 通 过 处 理 说 明 的 第 
5 条 ,可 以 清楚 地 看 到 “The default gateway is not set。 The device drops the packet”, 指 示 
出 没有 设置 默认 网 关 , 因 此 设备 丢弃 了 这 个 包 。 

解决 的 办 法 显然 是 设置 PC0 的 默认 网 关 。 人 恢复 PC0 的 默认 网 关 设置 后 ,继续 下 面 的 
步骤 。 

步骤 6 观察 路 由 表 的 作用 。 

选择 Simulation mode 后 ,在 PCO 上 重复 步骤 4 中 的 操作 。 


PC> ping 192.168.2.2(Routerl fa0/0 接口 IP 地 址 ) 


观察 Event List 对 话 框 中 显示 的 各 设备 节点 上 依次 出 现 的 ICMP 数据 包 , 单 击 
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Outbound PDU Details | 








六 Device: PCO 
Source: PCO 
Destination: 192.168.2.2 


In Layers 








Layer 3; ICMP Message Type; 
8 





1, The Ping process starts the next ping request, 

2, The Ping process creates an ICMP Echo Request message and 
sends it to the lower process. 

3, The source IP address is not specified, The deyice sets it to 
the port's IP address， 

4, The destination IP address is not in the same subnet and is 
notthe broadcast address. 


5 





[challenge Me| << Previous Layer] [_ Next Layer >> 











图 2-25 PDU Information 对 话 框 


Capture/Forward 按钮 ,可 以 看 到 网 络 中 数据 包 在 节点 间 传 送 。 连 续 单 击 , 可 以 看 到 数据 包 
处 理 的 动画 示意 。 如 果 单 击 Auto Capture/Play 按钮 , 则 Packet Tracer 按照 网 络 事件 发 生 
的 时 间 自 动 给 出 数据 包 在 网 络 节点 中 的 处 理 过 程 。 

这 时 可 以 看 到 数据 包 在 Router0 处 继续 向 前 传递 。 为 什么 路 由 器 Router0 没有 设置 路 
由 表 , 仍 然 转发 了 数据 包 呢 ?这 是 因为 网 络 192. 168. 2. 0 是 Router0 直接 相连 的 网 络 , 所 以 
路 由 器 也 转发 了 数据 包 。 

当 数 据 包 传送 到 Routerl 时 出 现 了 红色 的 叉 ,这 时 单 击 Info 字段 显示 处 理 信息 ,分 别 
阅读 In Layers 和 Out Layers 的 处 理 信息 ,可 以 看 到 节点 Routerl 在 处 理 输出 时 的 操作 : 
“The routing table does not have a route to the destination IP address. The router drops 
the packet”。 即 没有 设置 Routerl 上 去 往 PC0 或 其 网 络 的 路 由 信息 ,该 节点 找 不 到 转发 的 
路 径 , 因 此 丢弃 了 数据 包 。 

为 此 在 Routerl 上 配置 一 条 静态 路 由 。 

Router(config) # ip route 192.168.1.0 255.255.255.0 192.168.2.1 
保存 后 退出 。 再 次 在 PC0 上 执行 ping 命令 ,这 时 网 络 可 以 连通 。 

通过 阅读 PDU Information 对 话 框 的 OSI Model 选项 卡 上 各 个 节点 上 处 理 数据 包 的 流 
程 说 明 ,可 理解 掌握 网 络 数据 包 传 输 的 工作 过 程 。 

步骤 7 参照 前 面 的 实验 ,进一步 配置 Router0、Routerl 和 Router2 的 路 由 表 , 使 得 
PC0 和 Server0 可 以 相互 ping 通 , 用 模拟 方式 查看 通信 过 程 中 数据 包 的 传送 和 处 理 情况 。 
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4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 结果 ,说 明 对 Packet Tracer 的 使 用 方法 的 
认识 或 总 结 ,理解 和 掌握 利用 Packet Tracer 对 PDU 进行 分 析 的 基本 方法 。 


实验 2-2 ”Wireshark 的 使 用 


1. 实验 说 明 


熟悉 并 掌握 Wireshark 的 基本 使 用 ; 熟悉 捕获 各 种 协议 数据 包 和 查看 PDU 构成 的 
方法 。 


2. 实验 环境 


Windows 操作 系统 及 联网 环境 (主机 有 以 太 网卡 并 连接 Internet) ,安装 有 Wireshark 
1.10.0。 





3. 实验 步骤 


步骤 1 启动 浏览 器 。 

为 产生 实验 要 捕获 的 分 组 ,启动 浏览 器 并 在 地 址 栏 中 输入 某 个 网 页 的 URL, 如 http:// 
www. cnpaf. net。 

步骤 2 选择 抓 包 网 络 接口 。 

启动 Wireshark 1. 10. 0 ,在 软件 运行 窗口 中 可 以 看 到 本 机 的 所 有 网 络 接口 卡 , 用 鼠标 单 
击 需 要 在 其 中 抓 取 发 送 或 接收 分 组 的 网 络 接口 ,选中 的 接口 会 高 亮 显 示 ; 或 者 单 击 
Interfaces List 栏 , 会 弹出 抓 包 接口 对 话 框 , 列 出 本 机 所 有 的 网 络 接 口 及 其 基本 描述 , 勾 选 要 
抓 包 的 接口 即 可 。 

步骤 3 分 组 捕获 。 

在 软件 运行 窗口 中 单 击 Start 栏 或 者 单 击 工具 栏 的 “启动 ”按钮 ( 蓝 绿 色 咨 鱼 鳍 状 ) , 启 
动 抓 包 。 这 时 由 于 浏览 器 已 经 完成 网 络 连接 和 页 面 数据 传送 ,在 Wireshark 中 能 看 到 的 并 
非 是 网 页 数据 的 完整 分 组 。 单 击 工具 栏 中 的 “停止 "按钮 (红色 方块 ) ,然后 重新 启动 抓 包 , 出 
现 提示 时 单 击 Continue without Saving, 不 保存 已 经 抓 到 的 分 组 ,随即 在 浏览 器 中 刷新 页 
面 , 这 时 会 捕获 到 完整 的 访问 网 站 www. cnpaf. net 的 数据 包 。 当 完整 的 页 面 下 载 完 成 后 ， 
随即 停止 抓 包 。 

步骤 4 过 滤 分 组 。 

Wireshark 主 窗口 显示 已 捕获 的 本 次 通信 的 所 有 协议 报 文 ,如 果 只 显示 想 要 观察 的 那 
些 类 型 的 数据 包 , 如 指定 的 节点 IP 收发 的 分 组 ,或 指定 的 协议 分 组 , 则 要 使 用 显示 过 滤器 过 
滤 分 组 。 在 Wireshark 工具 栏 下 方 的 过 滤器 栏 中 输入 过 滤器 表达 式 , 如 图 2-26 所 示 。 如 果 
过 滤 表 达 式 是 正确 的 , 即 符合 BPF, 则 输入 栏 的 背景 色 会 是 绿色 的 ,否则 是 红色 的 。 单 击 过 
滤器 栏 中 的 下 三 角 按 钮 ,可 以 查看 最 近 输入 的 表达 式 。 

实验 时 输入 “http”, 单 击 Apply 按钮 或 者 按 Enter 键 ,分 组 列表 窗 格 将 只 显示 HTTP 
协议 报 文 。 选 择 分 组 列表 窗 格 中 的 第 一 条 HTTP 报 文 , 它 是 实验 时 计算 机 发 向 服务 器 
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Filter: |ip. addr==61. 139. 105. 133| Erpression.. Desr hpply Save 
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(www. cnpaf. net) 的 HTTP GET 报 文 。 

步骤 5 查看 分 组 。 

选择 报 文 的 具体 内 容 将 显示 在 包 明 细 窗 格 ,以 太 网 帧 、IP 数据 报 、TCP 报 文 段 , 以 及 
HTTP 报 文 首部 信息 都 将 显示 。 请 仔细 阅读 ,查看 各 层 协 议 PDU 的 构成 关系 。 

步骤 6 熟悉 Wireshark 的 使 用 。 

通过 工具 栏 的 各 个 按钮 重新 设置 Wireshark 工作 的 选项 ,设置 抓 包 过 滤器 等 来 重复 前 
面 的 抓 包 操作 ,进一步 熟悉 Wireshark 的 使 用 方法 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 结果 ,说 明 实验 结果 中 看 到 的 网 络 各 层 协议 
封装 和 分 用 的 关系 。 

通过 实验 总 结 出 过 滤器 的 常见 写法 ,说 明 抓 包 过 滤器 和 显示 过 滤器 的 使 用 方法 和 结果 
有 什么 不 同 。 


实验 2-3 ”GNS3 的 安装 使 用 
1. 实验 说 明 


学 习 GNS3 的 安装 和 基本 使 用 ; 了 解 利用 GNS3 模拟 真实 网 络 环境 进行 实验 的 基本 
方法 。 


2. 实验 环境 


与 互联 网 连接 的 计算 机 , Windows 操作 系统 ,GNS3-0. 8. 3. 1-all-in-one. exe 安装 包 ， 
gns3_IOS. rar。 


3. 实验 步骤 


步骤 1 安装 GNS3。 

直接 运行 GNS3-0. 8. 3. 1-all-in-one. exe 安装 包 , 根 据 提示 选择 要 安装 的 组 件 。 如 果 系 
统 中 已 安装 有 Wireshark ,那么 WinPCAP 也 一 定 已 经 安装 过 ,版 本 也 可 能 不 同 , 所 以 这 两 个 
软件 可 以 不 再 安装 。 

步骤 2 配置 IOS。 

设置 工程 目录 ,查找 OS 路 径 .Dynamips 有 关 路 径 、Wireshark 有 关 路 径 等 。 

将 gns3_IOS. rar 解压 获得 的 IOS 映像 文件 复制 到 GNS3 工作 目录 下 事先 建 好 的 目录 
下 (与 查找 OS 路 径 设置 一 致 ) ,然后 在 Edit 菜单 下 选择 IOS images and hypervisors 命令 ， 
打开 IOS 配置 对 话 框 。 在 IOS Images 选项 卡 的 Image file 处 , 单 击 文本 框 后 的 按钮 ,可 以 
查找 自己 所 准备 的 IOS 映像 文件 ,配置 好 所 有 的 IOS 映像 。 默 认 内 存 值 不 必修 改 。IDLE 
PC 的 参数 值 非常 重要 ,可 稍 后 设置 。 最 后 单 击 Save 按钮 ,保存 配置 。 
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步骤 3 建立 网 络 拓扑 。 

新 建 工 程 , 注意 勾 选 对 话 框 保存 时 的 选项 : Save nvrams including EtherSwitch 
VLANs and crypto keys( 汉 化 版 一 般 提 示 为 “保存 IOS startup 配置 和 nvrams”)。 

按照 图 2-27 所 示 添 加 网 络 设备 ,将 选择 的 节 R3 0 
点 从 左 侧 列表 中 拖 入 工作 区 ,然后 选择 连 线 , 将 
各 个 节点 连接 起 来 。GNS3 中 有 多 种 方法 可 以 
添加 PC, 比 较 简 便 的 做 法 是 将 路 由 器 配置 为 非 
路 由 工作 状态 来 模拟 PC。 

启动 网 络 设备 ,确定 并 设置 IDLE PC。 右 击 
工作 区 中 的 路 由 器 图 标 ,选择 IDLE PC 命令 , 待 
GNS3 计算 后 选择 一 个 带 星 号 的 IDLE PC 值 并 
单 击 OK 按钮 。 如 果 没 有 带 星 号 的 IDLE PC 
值 , 则 可 以 反复 计算 几 次 。 若 还 是 没有 标记 星 号 
的 值 ,应 选择 数值 最 大 的 IDLE PC 值 。 

为 每 个 路 由 器 进行 基本 的 配置 ,如 接口 参 
数 、 路 由 表 等 。 具 体 数值 自 拟 。 

步骤 4 捕获 网 络 运行 数据 包 。 

GNS3 中 整合 了 Wireshark ,可 以 在 每 个 节点 上 对 任 一 连接 链 路 抓 包 。 抓 包 操 作 方法 和 
真实 网 络 环境 中 使 用 Wireshark 抓 包 类 似 。 

尝试 对 路 由 器 R3 连接 R4 和 SW1 的 两 个 连接 链 路 进行 抓 包 ,并 查看 捕获 的 数据 包 。 


4. 实验 报告 
记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 结果 ,对 GNS3 的 使 用 特点 进行 总 结 说 明 。 








图 2-27 GNS3 实验 拓扑 
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在 TCP/IP 协议 族 中 , 链 路 层 也 叫 网 络 接口 层 ,包含 着 OSIVRM 模型 的 数据 链 路 层 和 
物理 层 。 数 据 帧 在 这 里 转换 成 在 网 络 传输 媒体 上 传送 的 比特 流 ,或 将 从 传输 媒体 上 接收 的 
比特 流 组 装 成 数据 帧 。 

本 章 将 着 重 介绍 链 路 层 最 常用 的 以 太 网 协议 ,并 详细 比较 DIX Ethernet V2 和 IEEE 
802. 3 封装 的 异同 ,对 SLIP 和 PPP 只 作 简单 介 绍 ,对 大 多 数 实现 都 包含 的 环 回 (loopback) 
接口 驱动 程序 也 作 了 介绍 。 实 验 部 分 要 求 掌 握 分 析 链 路 层 帧 的 基本 方法 ,同时 熟悉 Packet 
Tracer 和 Wireshark 的 用 法 ,进一步 掌握 协议 分 析 学 习 工 具 的 功能 特点 和 用 途 。 


@.1 链 路 层 的 作用 
为 了 更 清楚 地 理解 链 路 层 的 作用 ,需要 再 回顾 一 下 TCP/IP 协议 的 基本 层次 关系 。 


TCP/IP 协议 的 层次 结构 如 图 3-1 所 示 。 
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3-1 TCP/IP 协议 的 层次 结构 


在 图 3-1 中 ,硬件 接口 ? 即 对 应 着 链 路 层 的 主体 。 从 图 中 可 以 看 出 , 链 路 层 主要 有 3 个 目的 。 
(1) 为 IP 模块 发 送 和 接收 IP 数据 报 。 
(2) 为 ARP 模块 发 送 ARP 请 求 和 接收 ARP 应 答 
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(3) 为 RARP 模块 发 送 RARP 请 求 和 接收 RARP 应 答 。 

在 这 里 可 以 十 分 明确 : 链 路 层 在 各 层 协议 中 要 直接 打交道 的 就 是 IP.ARP 和 RARP 
3 个 协议 。 结 合 第 1 章 讲 过 的 协议 工作 原理 中 封装 和 分 用 的 过 程 , 链 路 层 帧 中 封装 的 数据 
体现 为 IPARP 和 RARP 这 3 种 类 型 的 协议 数据 。 

网 络 在 链 路 层 所 使 用 的 硬件 不 同 , 则 会 采用 不 同 的 链 路 层 协议 ,如 以 太 网 、 令 牌 环 网 、 
FDDI(Fiber Distributed Data Interface, 光 纤 分 布 式 数据 接口 ) 及 RS-232 串 行 线路 等 。 目 
前 TCP/IP 能 够 支持 多 种 不 同 的 链 路 层 协议 。 

在 网 络 技术 中 ,局 域 网 占有 非常 重要 的 地 位 。 按 照 网 络 拓扑 结构 ,局 域 网 可 以 分 为 星 
形 、 环 形 、 总 线 型 和 树 型 网 络 , 代 表 性 的 网 络 主要 是 以 太 网 、 令 牌 环 网 和 令 牌 总 线 网 。 经 过 数 
十 年 的 发 展 ,特别 是 近年 来 千 兆 以 太 网 和 万 兆 以 太 网 的 飞速 发 展 ,采用 CSMA/CD(Carrier 
Sense Multiple Access/Collision Detection ,载波 侦 听 多 路 访问 /冲突 检测 ) 接 和 方法 的 以 太 
网 已 经 在 局 域 网 市 场 中 占有 绝对 优势 。 以 太 网 几乎 成 为 局 域 网 的 同义词 ,因此 本 章 将 以 以 
太 网 作为 主要 的 学 习 内 容 , 然 后 介绍 SLIP(Serial Line Internet Protocol, 串 行 线路 网 际 协 
议 ) 和 PPP(Point to Point Protocol, 点 对 点 协议 ) ,对 现今 已 经 基本 淘汰 而 较 少 使 用 的 技术 ， 
如 令 牌 总 线 网 等 就 不 再 涉及 。 


6.2 以 太 网 的 帧 结构 


目前 使 用 最 为 广泛 的 链 路 层 协议 有 以 太 网 、 串 行 接口 链 路 等 。 
3.2.1 以 太 网 的 两 种 主要 标准 


以 太 网 是 1982 年 由 美国 DEC Intel 和 Xerox 3 家 公司 联合 制定 的 局 域 网 技术 标准 , 目 
前 采用 的 是 Ethernet V2 标准 ,因此 也 称 为 DIX Ethernet 格式。 在 TCP/IP 标准 中 ,由 
RFC 894(Hornig,1984) 来 说 明 , 是 目前 最 常用 的 局 域 网 标准 。 

IEEE 802 是 一 个 标准 集 , 是 由 IEEE(Institute of Electrical and Electronics Engineers， 
电气 和 电子 工程 师 学 会 ) 在 以 太 网 推出 后 不 久 公布 的 一 个 局 域 网 标准 。IEEE 802 将 数据 链 
路 层 分 为 两 个 子 层 , 即 LLC(Logical Link Control, 人 逻辑 链 路 控制 层 ) 和 MAC(Media Access 
Control, 介 质 访问 控制 层 )。IEEE 802. 2 规定 了 LLC 的 有 关内 容 , 而 IEEE 802. 3 针对 整 
个 CSMA/CD 网 络 对 MAC 有 具体 的 规定 。IEEE 802 的 MAC 子 层 用 于 规定 网 络 传输 介 
质 或 网 络 媒体 的 访问 ,LLC 子 层 则 用 于 管理 两 个 MAC 层 地 址 之 间 的 点 到 点 的 数据 传输 。 
IEEE 802.4 和 802. 5 都 是 令 牌 网 络 有 关 的 标准 , 现 已 较 少 使 用 。 


3.2.2 以 太 网 帧 的 封装 结构 


现在 采用 的 以 太 网 主要 有 两 种 不 同 规格 的 标准 ,分 别 由 RFC 894(Ethernet 工 )、RFC 
1042 (IEEE 802 网 络 ) 规 定 了 两 种 不 同形 式 的 封装 格式 ,如 图 3-2 所 示 。 图 中 帧 格式 下 的 数 
字 表 示 对 应 字段 的 字 节 数 。 

从 图 3-2 可 以 看 到 ,两 种 帧 格式 都 采用 48 位 (6 字 节 ) 的 目的 地 址 和 源 地 址 ,这 就 是 硬件 
地 址 (MAC 地 址 ) 。 接 下 来 的 2 个 字 节 在 IEEE 802 中 是 长 度 字 段 ,是 指 它 后 续 数 据 的 字 节 
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长 度 ,但 不 包括 CRC 检验 码 ; Ethernet 了 此 处 是 类 型 字段 ,定义 了 后 续 数 据 的 类 型 。( 请 思 
考 : 系统 是 如 何 区 分 收 到 的 帧 该 位 置 的 2 个 字 节 是 表示 长 度 还 是 类 型 的 呢 ?) 

在 IEEE 802 帧 格式 中 ,跟随 在 长 度 后 面 的 是 3 个 字 节 的 802.2 LLC 结构 。 其 中 ,LLC 
由 DSAP(Destination Service Access Point, 目 的 服务 访问 点 ) 和 SSAP (Source Service 
Access Point, 源 服务 访问 点 ) 及 Cntl 组 成 。DSAP 和 SSAP 通常 取 值 相同 ,用 于 说 明 通 信 
两 端 采用 的 链 路 层 协议 。 如 果 其 中 封装 的 是 802. 2 SNAP(Subnetwork Access Protocol, 子 
网 访问 协议 ) 的 协议 数据 , 则 DSAP 和 SSAP 的 值 都 设 为 0xAA(IEEE 对 DSAP 和 SSAP 的 
取 值 有 专门 的 规定 ,需要 时 可 以 查阅 相关 资料 ) ,Cntl 字段 的 值 设 为 3。 随 后 有 5 个 字 节 的 
SNAP 结构 ,包含 的 前 3 个 字 节 为 org code, 都 置 为 0。 再 接 下 来 的 2 个 字 节 的 类 型 字段 和 
以 太 网 帧 格式 的 一 样 。 

在 图 3-2 中 标示 出 了 链 路 层 中 封装 的 主要 3 种 协议 的 类 型 标识 的 取 值 。0x0800 表示 
帧 承载 的 是 IP 报 文 ,0x0806 表示 帧 承载 的 是 ARP 报 文 ,而 0x8035 表示 帧 承载 的 是 RARP 
报 文 。RFC 5342 对 以 太 网 帧 格式 中 的 “类 型 字段 的 更 多 取 值 有 相应 的 规定 ,需要 时 可 以 
查阅 。 
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图 3-2 IEEE 802.2/802.3(RFC1042) 和 以 太 网 (RFC 894) 的 封装 格式 
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大 多 数 应 用 程序 的 以 太 网 数据 包 都 采用 Ethernet 开 格 式 的 帧 来 封装 (如 HTTP、 
Telnet\FTP、SMTP、POP3 等 应 用 ) ,执行 STP(Spanning Tree Protocol, 生 成 树 协议 ) 的 交 
换 机 之 间 的 BPDU(Bridge Protocol Data Unit ,网 桥 协议 数据 单元 ) 采 用 IEEE 802. 3 SAP 
帧 ( 即 802.3 MAC 和 802.2 LLC), VLAN Trunk 协议 802. 1Q 和 CDP(Cisco Discovery 
Protocol,Cisco 发 现 协议 ) 采 用 IEEE 802. 3 SNAP 帧 。 

CRC 字段 用 于 帧 内 字 节 差错 的 循环 元 余 码 检验 , 它 也 被 称 为 FCS (Frame Check 
Sequence, 帧 检验 序列 )。 

IEEE 802 标准 定义 的 帧 和 Ethernet 下 的 帧 都 有 最 小 和 最 大 长 度 要 求 。IEEE 802 标准 
规定 帧 的 数据 部 分 最 少 要 有 38 字 节 ,以 太 网 则 规定 最 少 为 46 字 节 。 如 果 不 足 最 小 长 度 , 则 
协议 要 求 用 插入 填充 (pad) 字 节 的 方式 来 补足 。 最 大 长 度 要 求 就 是 通常 所 说 的 MTU 
(Maximum Transmission Unit, 最 大 传输 单元 ) ,IEEE 802 和 Ethernet 工分 别 是 1492 和 
1500 字 节 。 

在 传输 媒体 上 实际 传送 的 比特 流 中 还 要 在 如 图 3-2 所 示 的 帧 序列 前 多 出 8 字 节 的 前 导 
字 节 (7 个 字 节 的 前 同步 码 和 1 个 字 节 的 起 始 帧 定 界 符 ), 用 作 帧 收发 的 同步 控制 。 这 里 没 
有 标注 出 来 是 因为 只 有 和 链 路 层 硬件 接口 (如 网 卡 ) 正 确 地 从 网 络 链 路 上 接收 到 能 够 识别 处 理 
的 比特 流 数据 且 没 有 差错 并 组 装 成 帧 后 , 才 会 由 链 路 层 协议 栈 来 处 理 。 或 者 说 ,不 能 够 识别 
的 或 错误 的 比特 流 都 丢弃 了 。 因 而 ,在 各 种 协议 分 析 器 捕获 的 数据 中 都 不 会 看 到 帧 前 导 字 
节 , 甚 至 是 校 验 字 节 。Cisco Packet Tracer 模拟 方式 显示 的 帧 有 时 会 给 出 前 导 字 节 。 


.3 捉 行 接口 的 链 路 层 协议 
在 串 行 线路 上 对 IP 数据 报 进行 封装 的 常见 形式 有 SLIP 和 PPP。 当 然 ,这 两 个 协议 不 


只 用 于 数据 通信 网络 中 ,也 可 以 和 许多 其 他 的 串 行 通信 协议 一 样 用 于 工业 控制 .家 用 电器 等 
微型 或 小 型 系统 间 的 数据 传输 ,目前 在 嵌入 式 系统 中 也 有 应 用 。 














3.3.1 SLIP 


SLIP 是 一 种 在 串 行 线路 上 对 IP 数据 报 进行 封装 的 简单 形式 ,在 RFC 1055 中 有 详细 
的 描述 。SLIP 适合 具有 最 常见 的 RS-232 串 行 口 的 计算 机 系统 或 高 速 调制 解 调 器 接 和 人 IP 
网 络 使 用 。 
SLIP 帧 的 格式 如 图 3-3 所 示 。 
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IP 数据 报 以 一 个 称 为 END(0xc0) 的 特殊 字符 结束 ,同时 为 了 防止 数据 报到 来 之 前 的 线 
路 噪声 被 当成 数据 报 内 容 , 大 多 数 实 现在 数据 报 的 开始 处 也 会 传 一 个 END 字符 。 

如 果 IP 报 文中 某 个 字符 为 END, 那 么 就 要 连续 传输 2 个 字 节 的 0xdb 和 0xdc 来 取代 
这 个 END。0xdb 这 个 特殊 字符 被 称 为 SLIP 的 ESC 字符 ( 转 义 字符 ) 。 

如 果 IP 报 文中 某 个 字符 为 SLIP 的 ESC 字符 ,那么 就 要 连续 传输 2 个 字 节 的 0xdb 和 
0xdd 来 取代 它 。 这 个 方式 其 实 就 是 一 种 字符 填充 的 方式 ,在 串 行 线路 上 传输 的 总 字 节 数 会 
增加 。 

SLIP 是 一 种 简单 的 封装 方法 ,虽然 简便 ,但 有 以 下 缺陷 。 

(1) 每 一 端 必须 知道 对 方 的 IP 地 址 ,否则 不 能 通信 。 

(2) 没有 办 法 把 本 地 IP 地 址 通知 给 另 一 端 ,可 以 看 到 帧 中 没有 专门 的 地 址 字段 。 

(3) 没有 在 数据 帧 中 加 入 校 验 和 ,如 果 SLIP 传输 的 报 文 受 线路 噪声 影响 而 发 生 错 误 ， 
则 只 能 通过 上 层 协议 来 发 现 ,这 样 上 层 协议 必须 提供 某 种 形式 的 校 验 。 

目前 SLIP 已 经 被 PPP 所 取代 ,因为 PPP 有 许多 更 好 的 特点 ,并 且 不 需要 在 连接 建立 
前 进行 IP 地 址 的 配置 。 但 由 于 SLIP 有 非常 小 的 包装 头 ,因此 在 微 控制 器 中 它 仍 是 首选 的 
封装 IP 包 的 方式 。 


3:3:2 .PRP 


PPP 是 支持 点 到 点 连接 的 一 种 通信 协议 , 既 支持 数据 为 8 位 和 无 奇偶 校 验 的 异步 模 
式 , 也 支持 面向 比特 位 的 同步 连接 ,提供 对 从 局 域 网 到 广域网 的 数据 链 路 封装 支持 。 

RFC 1661 给 出 了 PPP 的 详细 规范 ,主要 包括 以 下 内 容 。 

(1) 支持 同一 链 路 上 同时 使 用 多 种 协议 的 封装 方法 。 事 实 上 ,PPP 支持 各 种 主要 网 络 
协议 的 封装 ,包括 IP、NetBEUI、AppleTalk、IPX、SNA 以 及 其 他 更 多 的 协议 。 

(2) 采用 一 个 特殊 的 LCP(Link Control Protocol, 链 路 控制 协议 ) 来 建立 .配置 测试 乃 
至 终止 链 路 ,协商 任何 点 到 点 链 路 的 特性 。 

(3) 针对 封装 的 不 同 网 络 协议 ,采用 NCP(Network Control Protocol, 网 络 控制 协议 ) 
来 完成 点 对 点 通信 设备 之 间 网 络 层 通信 和 所 需 参 数 的 配置 , 它 通过 协议 域 来 区 分 数据 域 中 净 
载荷 的 数据 类 型 。RFC 1332 和 RFC 1877 描述 了 一 个 用 于 IP 的 NCP, 称 为 IP 控制 协议 ， 
它 用 于 协商 发 送 方 的 IP 地 址 .DNS 服务 器 的 地 址 以 及 在 可 能 情况 下 使 用 的 压缩 协议 。 

PPP 的 封装 和 组 帧 技术 基于 ISO 的 HDLC(High-level Data Link Control ,高 级 数据 链 
路 控制 ) 协 议 , 因 此 数据 帧 封装 格式 非常 类 似 于 HDLC。PPP 帧 结构 如 图 3-4 所 示 。 

每 个 PPP 数据 包 的 开始 和 结束 都 有 一 个 0x7E 的 数据 标志 。 在 开始 标志 后 , 紧 跟 两 个 
HDLC 常量 : 地 址 常量 0xFF 和 控制 常量 0x03 。 

接 下 来 是 协议 字段 ,长度 通常 为 2 字 节 ,表示 信息 字段 中 包含 的 是 哪 种 协议 以 及 它 的 处 
理 信 息 。 正 如 图 3-4 中 标示 的 一 样 ,0x0021 表示 信息 字段 是 一 个 IP 数据 报 ,0xC021 表示 信 
息 字段 是 LCP 的 内 容 ,0x8021 则 表示 信息 字段 是 NCP 的 内 容 。 

信息 字段 的 长 度 最 多 为 1500 字 节 。 

然后 是 一 个 长 度 为 2 个 字 节 的 循环 宛 余 检验 码 ,以 检测 数据 帧 中 的 错误 。 

由 于 标志 字符 的 值 是 0x7E, 因 此 当 该 字符 出 现在 信息 字段 中 时 ,类 似 于 SLIP 的 字符 
填充 ,PPP 也 需要 对 它 进行 转 义 。 具 体 实现 过 程 如 下 。 
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图 3-4 PPP 数据 帧 结构 


(1) 当 遇 到 字符 0x7E 时 , 需 连 续 传送 两 个 字符 : 0x7D 和 0x5E, 以 实现 标志 字符 的 
转 义 。 

(2) 当 遇 到 转 义 字符 0x7D 时 , 需 连 续 传送 两 个 字符 : 0x7D 和 0x5D, 以 实现 转 义 字符 
的 转 义 。 

(3) 默认 情况 下 ,如 果 字 符 的 值 小 于 0x20( 如 ASCII 控制 字符 ) ,一 般 都 要 进行 转 义 。 
例如 , 遇 到 字符 0x01 时 需 连 续 传送 0x7D 和 0x21 字符 (这 时 第 6 个 比特 位 取 补 码 后 变 为 1， 
而 前 面 两 种 情况 均 把 它 变 为 0) 。 这 样 做 是 防止 它们 出 现在 双方 主机 的 串 行 接口 驱动 程序 
或 调制 解 调 器 中 ,因为 它们 有 时 会 把 这 些 控制 字符 解释 成 特殊 的 含义 。 另 一 种 可 能 是 用 
LCP 来 指定 是 否 需 要 对 这 32 个 字符 中 的 某 些 值 进行 转 义 。 默 认 情 况 下 是 对 所 有 的 32 个 
字符 都 进行 转 义 。 

当 PPP 用 于 同步 通信 时 ,如 综合 业务 数字 网 (ISDN) ,同步 光纤 网 (SONET) 的 链 路 , 则 
使 用 了 一 种 更 快速 .更 有 效 的 比特 填充 技术 .而 不 是 字符 填充 。 这 时 任何 连续 的 6 个 1 序列 
(考查 用 作 标 志 的 0x7E) 都 可 以 通过 在 5 个 1 之 后 插入 1 个 0 来 进行 转 义 。 该 方法 支持 这 
种 链 路 类 型 中 潜在 非法 值 的 更 有 效 编码 ,因而 使 PPP 成 为 TCP/IP 中 最 流行 的 点 到 点 协 
议 。PPP 还 支持 多 链 路 实现 ,即将 多 个 相同 宽度 的 数据 通道 合并 。 

PPP 在 工作 时 为 建立 点 对 点 链 路 上 的 通信 连接 ,发 送 端 首先 发 送 LCP 帧 ,以 配置 和 测 
试 数据 链 路 。 在 LCP 建立 好 数据 链 路 并 协调 好 所 选 设备 后 ,发 送 端 发 送 NCP 帧 ,以 选择 和 
配置 一 个 或 多 个 网 络 层 协 议 。 当 所 选 的 网 络 层 协议 配置 好 后 , 便 可 以 将 各 网 络 层 协议 的 数 
据 包 发 送 到 数据 链 路 上 。 配 置 好 的 链 路 将 一 直 处 于 通信 状态 ,直到 LCP 帧 或 NCP 帧 明确 
提示 关闭 链 路 ,或 有 其 他 的 外 部 事件 发 生 。 在 链 路 建立 和 数据 传输 的 过 程 中 ,信息 字段 的 内 
容 还 可 以 分 出 代码 (code) \ 标 识 符 (ID) 和 长 度 (length) 等 字段 ,以 满足 不 同 协议 的 工作 要 
求 。 这 里 不 再 深入 阐述 ,更 具体 的 内 容 请 参考 有 关 资 料 。 

要 指出 的 是 ,在 点 到 点 链 路 上 因为 只 有 两 方 参与 通信 ,并 不 需要 寻 址 。PPP 提供 了 一 
种 管理 两 点 间 会 话 的 有 效 方法 ,同时 不 同 于 广域网 上 使 用 的 X. 25 .frame relay( 帧 中 继 ) 等 
数据 链 路 层 协议 , PPP 提供 了 两 种 可 选 的 身份 认证 方法 : PAP(Password Authentication 
Protocol, 口 令 验 证 协议 ) 和 CHAP(Challenge Handshake Authentication Protocol, 挑 战 握 
手 验 证 协议 ), 从 而 更 好 地 保证 了 网 络 通信 的 安全 性 。 

总 的 来 看 ,PPP 相 比 SLIP 具有 显著 的 优点 : PPP 支持 在 单 根 串 行 线路 上 运行 多 种 协 
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议 ,而 不 只 是 IP; 每 一 帧 都 有 循环 元 余 校 验 ; 通信 双方 可 以 进行 IP 地 址 的 动态 协商 ; LCP 
可 以 对 多 个 数据 链 路 选项 进行 设置 ; 提供 安全 支持 。 同 时 ,PPP 仍然 保持 了 成 本 低 、 传 输 稳 
定 等 特点 。 


@.4 MTU 


链 路 层 数据 帧 的 最 大 长 度 就 是 MTU。 注 意 ,MTU 是 指 帧 的 净 载荷 部 分 ,不 包括 帧 的 
头 部 .尾部 及 控制 用 字段 。 

前 面 已 经 指出 以 太 网 和 IEEE 802. 3 的 数据 帧 的 长 度 限 制 ,其 MTU 分 别 是 1500 和 
1492 字 节 ,如 图 3-2 所 示 。 

不 同类 型 的 网 络 数据 帧 的 长 度 都 有 一 个 上 限 。 如 果 IP 层 有 一 个 数据 包 要 传送 ,而 且 
IP PDU 的 长 度 比 链 路 层 的 MTU 要 大 ,那么 IP 层 就 需要 进行 分 片 , 即 把 数据 报 分 成 若干 
片 , 使 得 每 一 片 都 小 于 MTU ,这 样 才能 通过 链 路 层 来 封装 传送 。IP 分 片 的 过 程 将 在 以 后 的 
章节 中 讨论 。 

表 3-1 所 示 列 出 了 一 些 典型 的 MTU 值 , 表 的 内 容 来 自 于 RFC 1191。 其 中 ,“ 点 到 点 
( 低 时 延 )” 是 指 SLIP 和 PPP 在 低 时 延 情况 下 的 逻辑 链 路 限制 ,这 时 减少 每 一 帧 的 字 节 数 可 
以 降低 应 用 程序 的 交互 时 延 , 从 而 为 交互 应 用 提供 足够 快 的 响应 时 间 。 


表 3-1 几 种 常见 的 MTU 





网 络 类 型 MTU 字 节 
超 通 道 65 535 
4Mb/s 令 牌 环 (IEEE 802. 5) 4464 
FDDI 4352 
以 太 网 1500 
IEEE 802. 3/802.2 1492 
区 站 576 
点 对 点 ( 低 时 延 ) 296 


在 RFC 1055 中 ,SLIP 的 MTU 是 1006 个 字 节 。 在 Windows 2000 的 实现 中 ,SLIP 的 
MTU 设置 为 1500 个 字 节 ,以 满足 和 以 太 网 的 互联 。 

目前 PPP 默认 的 MTU 是 1500 个 字 节 ,这 个 长 度 对 于 基于 以 太 网 的 互联 十 分 理想 。 
其 实 ,通过 LCP 在 对 等 实体 之 间 协 商 ,PPP 可 以 在 通信 中 使 用 更 大 或 更 小 的 MTU ,依据 是 
它们 所 连接 的 网 络 的 类 型 不 同 。 此 时 PPP 能 够 处 理 更 大 的 帧 ,如 9216 字 节 。 

可 以 用 netstat 命令 查看 并 打印 出 网 络 接口 的 MTU。 

和 MTU 直接 相关 的 另 一 个 重要 概念 是 路 径 MTU。 如 果 两 台 主 机 之 间 的 通信 要 通过 
多 个 网 络 ,那么 每 个 网 络 的 链 路 层 就 可 能 有 不 同 的 MTU。 这 时 重要 的 并 不 是 两 台 主机 各 
自 所 在 网 络 的 MTU ,而 是 连接 两 台 主机 的 所 有 网 络 中 的 最 小 MTU , 称 为 路 径 MTU , 即 两 
台 主 机 的 通信 路 径 上 最 小 的 MTU。 这 个 数值 直接 影响 着 在 整个 通信 过 程 中 数据 包 是 否 需 
要 分 片 。 

路 径 MTU 不 一 定 是 常数 , 它 取 决 于 通信 时 选择 的 路 由 。 由 于 路 径 的 选择 不 一 定 是 对 
称 的 ,因此 路 径 MTU 在 通信 的 两 个 方向 上 不 一 定 是 一 致 的 。 
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RFC 1191 描述 了 路 径 MTU 的 发 现 机 制 , 即 确定 路 径 MTU 的 方法 。 在 后 面 的 章节 中 
将 采用 这 种 发 现 方法 来 完成 确定 路 径 MTU 的 实验 。 


(8.5 环 回 接口 


环 回 接口 (loopback interface) 是 一 种 特殊 的 逻辑 网 络 接口 。 

绝 大 多 数 产 品 都 支持 这 种 形式 的 逻辑 接口 ,以 允许 运行 在 同一 台 主 机 上 的 客户 程序 和 
服务 器 程序 通过 TCP/IP 通信 。A 类 网 络 号 127 就 是 为 环 回 接口 预 留 的 。 根 据 惯例 ,大 多 
数 系统 把 IP 地 址 127. 0. 0. 1 分 配给 这 个 接口 ,并 命名 为 localhost, 这 个 地 址 也 称 为 回 送 地 
址 。 回 送 地 址 主要 用 于 网 络 软件 测试 及 本 机 进程 间 通 信 。 例 如 ,“ping 127. 0. 0. 1” 用 来 测 
试 本 机 中 的 TCP/IP 协议 是 否 正常 工作 。 

其 另 一 个 作用 是 某 些 C/S 模式 的 应 用 程序 在 运行 时 需 调用 服务 器 上 的 资源 ,一 般 要 指 
定 服务 器 的 IP 地 址 ,但 当 该 程序 要 在 同一 台 机 器 上 运行 而 没有 别 的 服务 器 时 ,就 可 以 把 服 
务 器 的 资源 装 在 本 机 ,服务 器 的 IP 地 址 设 为 127. 0. 0. 1 ,同样 也 可 以 运行 。 

对 于 大 多 数 习惯 用 localhost 来 指 代 服务 器 的 表示 来 说 ,实质 上 就 是 指向 127. 0. 0.1 这 
个 本 地 IP 地 址 。 在 Windows 系统 中 , 它 成 了 127.0.0.1 的 别名 。 对 于 网 站 建设 者 ,经 常用 
localhost 指向 一 个 表示 自己 的 特殊 DNS 主机 名 。 

环 回 接口 对 路 由 器 来 讲 是 一 个 逻辑 的 虚拟 接口 ,方便 用 于 测试 目的 ,因为 该 接口 总 是 开 
启 的 ,可 作为 一 台 路 由 器 的 管理 地 址 ,作为 动态 路 由 协议 OSPF、BGP 的 Router Id。 

图 3-5 所 示 是 环 回 接口 处 理 IP 数据 报 的 简单 过 程 。 从 中 可 以 看 到 一 个 传 给 环 回 接口 
的 IP 数据 报 不 能 在 任何 网 络 上 出 现 。 无 论 什 么 程序 ,一 旦 使 用 环 回 地 址 发 送 数据 , 环 回 驱 
动 程序 会 立即 把 数据 返回 给 协议 栈 中 的 IP 输入 函数 ,而 不 进行 任何 网 络 传输 。 
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图 3-5 中 需要 指出 的 要 点 如 下 。 

(1) 传 给 环 回 地址 的 任何 数据 均 作 为 IP 输入 。 

(2) 传 给 广播 地 址 或 多 播 地 址 的 数据 报复 制 一 份 传 给 环 回 接口 ,然后 送 到 以 太 网 上 。 
这 是 因为 广播 传送 和 多 播 传送 的 对 象 也 包括 主机 本 身 。 

(3) 任何 传 给 该 主机 IP 地 址 的 数据 均 送 到 环 回 接口 。 

在 图 3-5 中 , 另 一 个 隐 含 的 意思 是 送 给 主机 本 身 IP 地 址 的 IP 数据 报 一 般 不 出 现在 相 
应 的 网 络 上 。 因 为 借助 环 回 地 址 ,主机 保证 了 处 理发 送 给 自己 的 IP 数据 报 。 


@.6 小 结 


(1) TCP/IP 协议 族 中 和 链 路 层 协议 有 直接 联系 的 协议 有 3 个 , 即 IP、ARP 和 RARP， 
这 体现 在 链 路 层 的 功能 描述 中 。 

(2) 目前 链 路 层 使 用 最 多 的 局 域 网 协议 是 以 太 网 ,包括 Ethernet V2 和 IEEE 802 两 
种 。Ethernet V2 标准 规定 的 链 路 层 帧 结构 和 IEEE 802 标准 规定 的 链 路 层 帧 结构 既 有 相 
同 的 地 方 , 也 有 不 同 之 处 。 相 同 之 处 主要 是 MAC 地 址 形式 ,不 同 之 处 主要 体现 在 IEEE 
802.2 对 LLC 的 规定 中 。 

(3) SLIP 和 PPP 协议 是 串 行 链 路 中 的 重要 协议 ,其 帧 结构 为 适应 串 行 通信 有 特别 的 设 
计 , 如 帧 内 容 的 字 节 填充 方式 。 

(4) 不 同类 型 的 链 路 层 对 MTU 有 不 同 的 规定 ,Ethernet V2 标准 规定 的 MTU 是 1500 
字 节 ,IEEE 802 是 1492 字 节 。 

(5) 大 多 数 实现 都 提供 环 回 接口 ,传送 给 环 回 接口 的 数据 不 会 出 现在 网 络 上 。 访 问 这 
个 接口 可 以 通过 特殊 的 环 回 地 址 。 


@.7 习题 


1. 除了 图 3-2 所 示 给 出 的 3 种 以 太 网 帧 类 型 ,是 否 还 有 其 他 帧 类 型 ? 从 什么 地 方 可 以 
查阅 到 以 太 网 帧 格式 中 的 “类 型 "字段 是 怎样 分 配 的 ? 

2. 如 果 读 者 的 主机 是 通过 ADSL 的 PPPoE 拨号 上 网 的 ,请 尝试 在 系统 上 网 时 捕获 拨 
号 连接 通信 的 PPPoE 帧 并 进行 分 析 。 

3. 如 果 读 者 的 主机 系统 有 netstat 命令 ,如 何 用 它 来 确定 系统 上 的 接口 及 其 MTU? 

4. 主机 中 的 环 回 地 址 通常 为 127. 0. 0. 1 ,能 够 采用 其 他 地 址 来 表示 环 回 地 址 么 ? 


< 


头 守 


实验 3-1 DIX Ethernet V2 帧 格式 分 析 
1. 实验 说 明 
分 别 通 过 在 Packet Tracer 和 Wireshark 中 查看 分 析 链 路 层 的 以 太 网 帧 ,进一步 学 习 捕 





获 查看 网 络 通信 信息 的 方法 。 同 时 通过 对 DIX Ethernet V2 帧 的 分 析 ,进一步 巩固 对 链 路 
层 帧 结构 的 理解 和 掌握 。 


2. 实验 环境 


Windows 操作 系统 及 联网 环境 (主机 有 以 太 网 网 卡 并 连接 局 域 网 或 Internet) ,安装 有 
Packet Tracer 6.0 和 Wireshark 1. 10。 


3. 实验 步骤 


(1) 在 Wireshark 中 捕获 分 析 以 太 网 帧 。 

步骤 1 启动 Wireshark 。 

在 Windows 中 启动 Wireshark , 选 定 本 地 网 络 接口 并 启动 抓 包 。 

步骤 2 构造 网 络 通信 信息 。 

启动 浏览 器 浏览 网 页 或 运行 网 络 应 用 程序 (如 运行 QQ 或 ping 命令 等 ) ,在 本 机 网 络 接 
口中 产生 网 络 通信 信息 。 

步骤 3 分 析 捕获 的 帧 。 

在 Wireshark 中 查看 捕获 的 以 太 网 帧 ,并 结合 3. 2 节 的 内 容 分 析 以 太 网 帧 结构 。 图 3-6 
所 示 为 在 Windows 主机 浏览 器 中 访问 Internet 网 站 时 捕获 的 以 太 网 帧 示例 ,实验 时 请 依据 
实际 捕获 的 帧 进行 分 析 。 注 意 , 分 析 帧 中 的 每 一 个 域 以 及 取 值 ,观察 帧 的 长 度 和 MAC 地址 
的 构成 ,如 48 位 MAC 地 址 中 LG 和 IG 比特 的 含义 .Type 字段 的 取 值 。 











田 Frame 121: 590 bytes on wire (4720 bits), 590 bytes captured (4720 bits) on interface 0 
3 3c:5f: 


:ee) 
Globally unique address (factory defaulr) 
Individual address (unicast) 
a:3c:5f:2c) 
6:ca:3c:5f:2c) 
LG bit: Global1y unique address (factory default) 
= IG bit: Individual address (unicast) 
Type: IP oa 
Internet protocol Version 4, Src: 61.139. 0 a Ce 139.105.133), Dst: 192.168.0.100 (192.168.0.100) 
轩 Transmission Control Protocol. Src Port: Dst Port: 54064 (54064). Seq: 25729. Ack: 473，Len: 








0000 00 la4d6c5aeeec 26 ca3csfzc080045 00 
中 00 00 79 06 
O00 be f7 9e 25 
ff 70 fc bc - 
入 到 站 全 中 中 只 器 其 吕 3e 0a 09 09 09 35 





图 3-6 ”以太 网 帧 结构 分 析 示例 


步骤 4 任意 访问 一 个 网 站 ,在 捕获 的 输入 帧 中 查看 有 没有 帧 长 度 刚 好 为 60 字 节 的 
帧 ,能 否 看 到 Padding 字段 ,分 析 其 成 因 。 

如 果 没 有 , 则 可 以 反复 多 次 捕获 帧 以 获取 ,也 可 以 用 ping -1 限定 帧 长 来 构造 短 帧 。 有 
时 捕获 的 帧 中 会 有 小 于 最 小 帧 长 的 帧 出 现 ,这 是 为 什么 呢 ? 

图 3-7 所 示 是 在 连通 测试 时 捕获 到 有 Padding 字段 及 帧 长 为 54 字 节 的 数据 包 示例 ,请 
分 析 其 成 因 。 
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Ele Edt Yew Go Capture Anayze Statstics Telephony Toos Intemas Heb 
INo. Time Source Destination Protocol Length Info 
1 0.000000000 192.168.0.100 123.125.114.144 ICMP 54 Echo (ping) request id-0x0001, seq-7308/35|| 
2 0.060514000 123.125.114.144192.168.0.100 ICMP 60 Echo (ping) reply id-0x0001, seq-7308/35~ 
me) ; 
Frame 6: 60 bytes on wire (480 bits), ured (480 bits) on interface 0 下 
:20, Dst: Giga-Byt_6c:5a:ee (00:1a:4d:6c:5a:ee) 














obally unique address (factory default) 
ndividual address (unicast) 
cc) 
:5f:2c) 
Slobally unique address (factory defaulr) 
it: Individual address (unicast) 





26 ca 3c fF 2c 08 00 45 00 
01 63 81 7b 7d 72 90 c0 a8 
Ol lc Be 44 61 74 61 20 42 





图 3-7 有 Padding 字段 的 以 太 网 帧 示例 


(2) 在 Packet Tracer 中 查看 以 太 网 帧 。 
步骤 1 启动 Packet Tracer, 按 图 3-8 所 示 建 立 一 个 简单 的 网 络 并 相应 做 好 IP 地 址 配 
置 , 也 可 以 打开 以 前 建立 的 网 络 拓扑 来 进行 实验 。 
图 3-8 中 ,PC0、PCl 和 PC2 的 默认 网 关 分 别 设置 为 指向 路 由 器 对 应 接口 ,路 由 器 可 以 
只 配置 静态 路 由 。 配 置 方法 请 参考 2.2 节 。 






192.168.1.1/24 192.168.2.1/24 


一 一 -9 
a 
PC-PT 
PC2 
192.168.2.2/24 


os 
PC-PT 
PC1 
192.168.1.3/24 


图 3-8 Packet Tracer 链 路 层 实 验 


步骤 2 运行 ping 命令 ,查看 链 路 层 数据 。 

先 在 Packet Tracer 工作 窗口 中 单 击 Simulation mode, 切 换 到 模拟 模式 ,然后 在 网 络 拓 
扑 中 单 击 PC0 图 标 , 打 开 PC0 的 Desktop 选项 卡 , 单 击 Command Prompt, 打 开 命 令 行 窗 
口 ,输入 以 下 命令 。 


PC> ping 192.168.1.3 


按 Enter 键 后 ,马上 就 可 以 在 Event List 对 话 框 中 看 到 出 现 了 对 应 的 网 络 事件 。 

步骤 3 单 击 Capture/Forward 按钮 ,会 产生 下 一 个 事件 ,这 样 不 断 单 击 就 可 以 看 到 
ping 程序 运行 中 数据 包 传送 的 全 部 情况 。 

步骤 4 单 击 第 一 个 事件 的 Info 字段 ,打开 PDU Information 对 话 框 中 的 Outbound 





PDU Details 选项 卡 ,可 以 看 到 PC0 发 出 的 第 一 个 ICMP 数据 包 在 链 路 层 的 封装 情况 ,得 到 
类 似 图 3-9 所 示 的 数据 。 认 真 分 析 每 一 个 数据 域 的 内 容 。 


PDU Formats 











Ethernet II 
0 4 8 14 19 Bytes 
PREAMBLE: DEST MAC: SRC MAC: 
101010...1011 0004.9AE4.5E22 | 0090.21C1.31C8 
TYPE: DATA (VARIABLE LENGTH) Fcs: 
0x800 0x0 











图 3-9 Packet Tracer 下 查看 以 太 网 帧 结构 示例 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 结果 ,比较 说 明 用 Wireshark 和 Packet 
Tracer 捕获 的 以 太 网 帧 的 异同 ,理解 和 掌握 以 太 网 帧 结构 。 


5. 思考 


(1) 图 3-6 所 示 示 例 中 捕获 的 以 太 网 帧 类 型 为 0x0800, 要 怎样 做 才能 捕获 一 个 0x0806 
类 型 的 帧 ? 
(2) 图 3-9 所 示 显 示 的 帧 结构 中 的 内 容 和 实际 网 络 中 的 数据 有 区 别 吗 ? 


实验 3-2 IEEE 802 帧 格式 分 析 
1. 实验 说 明 


分 别 通过 在 Packet Tracer 和 Wireshark 中 查看 分 析 链 路 层 的 IEEE 802 帧 ,学 习 了 解 
不 同 的 链 路 层 帧 格式 。 

实验 中 提 到 的 STP 在 IEEE 802. 1D 文档 中 给 出 了 其 定义 。STP 协议 按照 树 的 结构 来 
构造 网 络 拓扑 ,消除 网 络 中 的 环 路 ,避免 广播 风暴 。CDP 是 Cisco 公司 设计 的 专用 协议 ,被 
Cisco 公司 的 网 络 设备 用 来 获取 相 邻 设备 的 协议 地 址 及 发 现 这些 设 备 的 平台 。 

本 实验 的 主要 目的 是 观察 IEEE 802 帧 不 同 于 Ethernet V2 的 封装 结构 ,对 STP 和 
CDP 的 具体 工作 原理 和 协议 结构 不 作 要 求 ,需要 时 请 参考 有 关 书 籍 或 资料 。 


2. 实验 环境 


Windows 操作 系统 及 联网 环境 (主机 有 以 太 网 网 卡 并 连接 局 域 网 或 Internet) ,安装 有 
Packet Tracer 6.0、Wireshark 1. 10 和 GNS3( 已 配置 好 IOS) 。 


3. 实验 步骤 


(1) 在 Packet Tracer 中 捕获 分 析 IEEE 802 帧 。 
步骤 1 启动 Packet Tracer, 建 立 如 图 3-8 所 示 的 实验 网 络 。 切 换 到 模拟 模式 ,直接 单 
击 Capture/Forward 按钮 ,这 时 会 看 到 从 交换 机 Switch0 发 出 的 STP 包 。 
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步骤 2 任意 选择 一 个 STP 协议 包 事件 并 单 击 其 Info 字段 ,会 弹出 PDU Information 
对 话 框 , 单 击 Outbound PDU Details 选项 卡 ,可 以 看 到 类 似 图 3-10 所 示 的 PDU Formats。 
PDU Information at Device: SwitchO 十 “= ] 
OsiModel | Outbound PDU Details 





























PDU Formats 





Ethernet 802.3 
0 4 二 14 19 Bytes 


PREAMBLE: S DEST ADDR: SRC ADDR: 
1010 1010 F| 0180.C200.0000 | 0001.6420.5A01 上 

















16 24 Bits 





8 
DSAP:0x42 | SSAP:0x42 | CONTROL 
BIT: 3 














STP BPDU 





PROTOCOL ID: 0 VERSION: 0 


可 porT|L A|T 
c ROLE |R sic 
N R|A 









































3-10 IEEE 802 帧 结构 示例 


步骤 3 依据 实验 中 PDU Formats 实际 显示 的 内 容 , 对 照 图 3-2 认真 分 析 帧 的 每 一 个 
字段 。 要 特别 注意 802.2 LLC 结构 中 DSAP 和 SSAP 的 取 值 。 

STP 的 配置 往往 和 VLAN 的 配置 相关 联 , 图 3-8 所 示 实 验 拓扑 中 的 Cisco 2950 交换 机 
有 默认 VLAN1( 尽 管 没有 配置 ) ,因此 能 够 捕获 STP 包 。 和 VLAN 有 关 的 具体 操作 请 参考 
有 关 书 籍 或 资料 。 

步骤 4 继续 单 击 Capture/Forward 按钮 ,直到 看 到 交换 机 发 出 的 CDP 包 。 单 击 CDP 
协议 包 事 件 的 Info 字段 ,在 打开 的 对 话 框 中 查看 其 Outbound PDU Details 选项 卡 。 

步骤 5 依据 实验 中 PDU Formats 实际 显示 的 内 容 , 对 照 图 3-2 认真 分 析 帧 的 每 一 个 
字段 。 图 3-11 所 示 是 CDP 使 用 的 IEEE 802 帧 的 局 部 信息 示例 。 

注意 观察 ,由 于 有 SNAP 帧 的 存在 ,LLC 的 DSAP 和 SSAP 值 为 0xAA。 

(2) 用 Wireshark 捕获 分 析 IEEE 802 帧 ( 选 做 ) 。 

利用 GNS3 按 图 3-8 所 示 构 建 高 仿真 的 网 络 环境 ,用 Wireshark 捕获 完全 和 真实 网 络 
环境 中 一 样 的 STP 或 CDP 帧 。 

这 部 分 实验 内 容 作为 课 后 自学 ,这 里 不 给 出 详细 的 实验 过 程 ,请 参考 Packet Tracer 的 
实验 内 容 和 第 2 章 关 于 GNS3 的 内 容 。 


4. 实验 报告 


PDU Formats 





Ethernet 802.3 
0 4 





19 Bytes 





PREAMBLE: S| DEST ADDR: SRC ADDR: 
1010 1010 F|oi00.0ccc.cccc| 0001.6420.5A02 











D 
LENGTH/ DATA (VARIABLE LENGTH) FCs: 
TYPE: Ox0 
Ox8 





24 Bits 














32 Bira 











012 4 6 日 Byres 





























图 3-11 CDP 使 用 的 IEEE 802 帧 的 基本 格式 





记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 结果 ,比较 说 明 IEEE 802 帧 和 DIX 
Ethernet V2 帧 的 异同 。 


实验 3-3 PPP 帧 的 观察 


1. 实验 说 明 


PPP 协议 是 当今 网 络 上 使 用 最 广泛 的 串 行 链 路 协议 。 
PPPoE(Point to Point Protocol over Ethernet, 以太 网 上 的 点 到 点 协议 ) 则 是 一 种 设计 
用 于 串 行 通 信 并 为 以 太 网 进行 了 改造 的 PPP。 通 过 在 标准 PPP 报 文 的 前 面 加 上 以 太 网 的 
报头 ,使 得 PPPoE 提供 通过 简单 桥接 接 人 设备 连接 远 端 接 和 人 设备 ,并 可 以 利用 以 太 网 的 共 
享 性 连接 多 个 用 户主 机 。PPPoE 广泛 用 于 用 户 通过 拨号 或 专线 方式 接 人 ISP 时 建立 点 对 


点 连接 的 收发 数据 。 更 多 有 关 PPPoE 的 通信 过 程 请 查阅 相关 资料 。 


本 实验 通过 在 Packet Tracer 中 查看 分 析 网 络 设备 互联 的 PPP 帧 结构 ,学习 了 解 串 行 
链 路 中 使 用 的 帧 格式 ; 通过 在 真实 上 网 时 捕获 ADSL Modem 拨号 连接 时 系统 收发 的 数据 
包 , 了 解 链 路 层 PPPoE 帧 格式 。 


2. 实验 环境 


Windows 操作 系统 及 联网 环境 (主机 有 以 太 网 网 卡 并 连接 局 域 网 和 Internet) ,安装 有 
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Packet Tracer 6.0、Wireshark 1. 10; ADSL Modem 拨号 上 网 设备 。 
3. 实验 步骤 


(1) 在 Packet Tracer 中 观察 分 析 PPP 帧 结构 。 

步骤 1 启动 Packet Tracer, 建 立 如 图 3-12 所 示 的 实验 网 络 。 先 在 两 台 路 由 器 中 添加 
WIC-1T 串 行 接口 模块 ,然后 从 Router0 处 选用 串口 线 DCE 连接 两 台 路 由 器 ,配置 好 IP 
地 址 。 





Router0 
10.10.1.1/24 


1841 
Routerl 
10.10.1.2/24 


图 3-12 PPP 帧 查看 实验 


步骤 2 将 鼠标 停留 在 Router0 的 接口 处 即 会 显示 出 时 钟 图 标 ,表明 Router0 是 DCE， 
需要 设置 DCE 的 时 钟 频率 。 输 入 以 下 命令 进行 配置 。 

Router# show controllers s0/0/0 # 可 查看 路 由 器 是 否 为 DCE 

Router#conf 七 


Router(config) # int s0/0/0 
Router(config - if)#clock rate 9600 # 设 置 串口 同步 时 钟 频率 为 9600b/s 


Routerl 的 串口 为 DTE, 不 用 配置 时 钟 。 实 验 中 没有 设置 带宽 ,采用 默认 的 128kb/s。 

步骤 3 继续 配置 PPP, 运 行 命令 启用 PPP。 

Router(config- if)##encapsulation ppp 站 设 置 串 行 通 信 的 封装 方式 为 PPP 

Router(config— if)#°z # 保 存 

Router# show int s0/0/0 # 查看 设置 参数 

步骤 4 切换 Packet Tracer 到 模拟 模式 ,直接 单 击 Capture/Forward 按钮 ,这 时 会 看 
到 从 Router0 发 出 的 CDP 包 。 任 意 选 择 一 个 CDP 协议 包 事 件 并 单 击 其 Info 字段 ,查看 
Outbound PDU Details 选项 卡 ,可 以 看 到 类 似 图 3-13 所 示 的 PDU Formats。 

对 照 3. 3.2 节 的 内 容 , 分 析 PPP 帧 的 结构 。 

(2) 观察 分 析 ADSL 拨号 上 网 的 PPPoE 帧 。 

步骤 1 确认 实验 需要 的 ADSL 宽带 设备 及 拨号 上 网 可 用 ,Windows 中 已 配置 有 拨号 
上 网 快捷 方式 。 

步骤 2 先 在 Windows 中 启动 Wireshark, 选 定 本 地 网 络 接口 并 启动 抓 包 ,随即 启动 宽 
带 连 接 拨号 ,输入 用 户 名 和 口令 ,这 时 可 以 看 到 捕获 的 拨号 连接 数据 包 。 
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PDU Formats 
PPP 
0 8 16 24 40 40+x 56+X 64+X Bits 
FLG: | ApR:| CTr: [PROTOCOL:| LCP: Fcs: | FuG: 
0111| oxff | ox: Ox207 | (VARIABLE ox0 “|ol11 
111 LENGTH) 111 
CDP 
0 1 2 4 6 Bytes 
Vv|T| chk|mpE| LEN VALUE (VARIABLE 
E|T|sum LENGTH) 
R 
CDP Value Field: 
0 1 2 Bytes 
P| PROTOCOL ADR ADDRESS 
RIE (VARIABLE) LEN (VARIABLE) 
ON 
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步骤 3 在 Wireshark 的 显示 过 滤器 中 输入 "pppoed”, 可 以 查看 PPPoE 帧 信息 ,如 
图 3-14 所 示 。 在 PPPoE 的 Discovery 阶段 ,以 太 网 帧 的 Type 域 都 设置 为 0x8863 。 





_ Destination Frotocol Length Info 
Broadcast PPPOED 36 Active Discovery Initiation (PADI) 


Bo， Tine Source 
12 2.460986000 Giga-Byt_6c: 5e 








Sre: Gig. Byt_ 
日 PPP-over-Ethernet Discovery 
0001 .... = Version: 1 


.... 0001 = Type: 1 
Code: Active Discovery Initiation (PADI) (0x09) 
Session ID: Ox0000 
Payload Length: 16 
田 PPPOE Tags 








图 3-14 拨号 上 网 的 PPPoE 帧 结构 示例 


步骤 4 结合 PPPoE 的 相关 工作 原理 ,分 析 自 己 捕获 的 PPPoE 帧 结构 。 
步骤 5 观察 能 否 捕获 PPP 会 话 阶段 (以 太 网 帧 的 Type 域 都 设置 为 0x8864) 的 帧 。 


PPPoE 的 payload 部 分 包含 0 个 或 多 个 TAG。 一 个 TAG 是 一 个 TLV(type-length-value) 
结构 ,TAG_TYPE 域 为 16 位 值 (网 络 字 节 序 ) ,请 了 解 TAG 取 值 的 情况 。 


4. 实验 报告 
记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 结果 ,说 明 PPP 帧 的 结构 。 


5. 思考 
通过 连接 路 由 器 之 间 的 WAN 口 来 观察 PPP 帧 可 以 得 到 更 多 的 内 容 , 请 思考 应 该 如 何 
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实验 3-4 环 回 接口 
1. 实验 说 明 
本 实验 通过 在 Packet Tracer 中 配置 路 由 器 上 的 环 回 接口 ,查看 了 解 其 工作 特点 。 
2. 实验 环境 
Windows 操作 系统 ,安装 有 Packet Tracer 6. 0。 
3. 实验 步骤 


步骤 1 启动 Packet Tracer, 建 立 如 图 3-15 所 示 的 拓扑 。 

步骤 2 在 Router0 上 配置 网 络 接口 地 址 ,分 别 为 10. 1. 1. 1/24 和 20. 1. 1. 1/24, 类 似 
地 在 Routerl、 Router2 和 PC1、PC2 上 配置 相应 的 IP 地 址 。 

在 Router0 上 配置 环 回 接口 地 址 ,命令 如 下 。 


Router0(config) # interface loopback 0 
Router0(config- if)# ip address 17.17.1.1 255.255.255.255 


然后 配置 OSPF ,命令 如 下 。 


Router0(config) # router ospf 1 
Router0(config ~ router)# network 10.1.1.0 0.0.0.255 area 0 
Router0(config - router) # network 20.1.1.0 0.0.0.255 area 0 


10.1.1.224 10.4.1.124 20.1.1.124 20.1.1.2/24 


号 一 一 ~g 一 一 一 一 


20.1.2.1/24 
10.1.2.1/24 1841 1841 1841® 
A Routerl Router0 Router2 \ 
loopback:17.17.1.1/32 AN 
Le 
PC-PT PC-PT 
PC1 PC2 


3-15 环 回 接口 实验 拓扑 


步骤 3 配置 好 后 ,在 Router0 上 执行 命令 “show ip protocol”, 可 以 看 到 如 图 3-16 所 示 
的 输出 。 

在 图 3-16 中 可 以 看 到 ,Router0 上 设置 的 环 回 接口 地 址 17. 17. 1. 1 被 当 作 了 路 由 器 的 
Router ID。 

步骤 4 在 Router0 上 执行 以 下 命令 。 


Router0#ping 17.17.1.1 


在 Packet Tracer 中 采用 模拟 方式 可 以 看 到 ping 发 出 的 数据 包 只 在 Router0 上 收发 ， 
并 收发 成 功 。 





Boucer#show ip prococol 


Routing Protocol is "ospf 1° 
Ducgoing updare filter list for all interfaces is noc set 
Incoming updare filter list for all interfaces is noc set 
Router ID 17.17.1.1 
Number of areas in this router is 1. 1 nornal 0 stub 0 nssa 
Haxinun Parhz 和 
Routing for Netuorks: 

10.1-1.0 0-0-0-255 area 0 
20.1.1.0 0.0.0.255 area 0 
Routing Information Sources: 
Gatevay Distance Last Updare 
219-17.1.1 110 00:01:40 
Distance: (default is 110) 


图 3-16 环 回 接口 地 址 作为 路 由 器 的 Router ID 


4. 实验 报告 
记录 自己 的 实验 过 程 和 实验 结果 ,分析 实验 结果 ,说明 环 回 接口 的 特点 。 
5. 思考 


(1) 路 由 器 使 用 环 回 接口 地 址 作为 该 路 由 器 产生 的 所 有 IP 包 的 源 地 址 ,从 而 提高 数据 
的 过 滤 效 率 , 请 参考 路 由 器 配置 的 有 关 资 料 了 解 其 工作 原理 和 特点 。 

(2) 在 Windows 主机 上 用 Wireshark 能 不 能 抓 到 对 127. 0. 0. 1 进行 ping 的 数据 包 呢 ? 
如 果 抓 不 到 ,原因 是 什么 ? 
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网 络 上 任意 两 台 计 算 机 之 间 的 信息 传送 ,最 终 都 是 依靠 物理 地 址 来 实现 的 。 在 网 络 接 
口 层 使 用 的 地 址 就 是 物理 地 址 。 本 章 讨 论 怎 样 把 物理 地 址 与 在 TCP/IP 互联 网 络 上 标识 主 
机 的 IP 地址 关联 起 来 ,着 重 介 绍 ARP, 对 RARP 只 作 简 单 介绍 。 


41 物理 地 址 和 网 络 地 址 的 转换 


数据 链 路 ,如 以 太 网 或 令 牌 环 网 ,都 有 自己 的 寻 址 机 制 , 即 采用 物理 地 址 来 标识 通信 接 
口 。 对 于 以 太 网 ,这 个 地 址 也 称 为 MAC 地 址 , 即 IEEE 802. 3 规定 的 48 位 地 址 格式 。 在 相 
邻 的 两 个 节点 间 传 送 数据 帧 时 ,以 物理 地 址 来 封装 数据 帧 。 

在 网 络 层 ,用 网 络 地 址 来 标识 通信 节点 ,用 以 确定 报 文 的 转发 路 由 。 对 于 IP 网 络 ,这 个 
地 址 称 为 IP 地址 。 

将 IP 分 组 封装 到 数据 链 路 帧 中 的 时 候 ,协议 栈 需 要 获得 IP 地 址 对 应 的 网 络 接口 的 物 
理 地 址 。ARP 为 IP 地 址 与 对 应 的 物理 地 址 之 间 提 供 动态 映射 ,动态 是 指 可 由 系统 网 络 协 
议 栈 自动 将 某 个 IP 地 址 解析 成 对 应 的 MAC 地 址 。 

对 于 那些 没有 磁盘 驱动 器 的 系统 ,一 般 是 无 盘 工 作 站 和 X 终端 在 引导 时 需要 获得 IP 
地 址 , 即 已 获得 网 络 接口 的 物理 地 址 但 没有 IP 地 址 的 情况 ,这 时 便 需 要 RARP 来 完成 地 址 
转换 。 通 常 这 需要 系统 管理 员 对 RARP 服务 器 进行 手工 设置 。 


@.2 ARP 协议 的 工作 原理 


4.2.1 地 址 解析 的 例子 


下 面 通 过 运行 一 个 常见 的 网 络 通信 命令 的 例子 来 分 析 地 址 解析 时 网 络 协议 栈 的 操作 。 
假定 在 局 域 网 中 连接 有 一 台 名 为 mytest. mydomain 的 Linux 主机 并 已 经 开启 了 
Telnet 服务 ,此 时 在 局 域 网 另 一 台 主 机 的 终端 中 输入 以 下 命令 。 


$ telnet mytest. mydomain 


这 时 系统 网 络 协议 栈 中 将 执行 以 下 操作 ,这 些 操作 已 在 图 4-1 中 用 对 应 的 序号 标注 出 
来 了 。 
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(1) 应 用 程序 Telnet 先 调 用 系统 相关 函数 ,把 主机 名 mytest. mydomain 转换 为 32 位 
的 IP 地址 ,这 个 过 程 称 为 域名 解析 。DNS 将 在 第 7 章 介绍 。 在 一 个 小 的 网 络 中 也 可 以 使 
用 一 个 静态 的 主机 文件 /etc/hosts 来 进行 本 地 域名 解析 。 

(2) Telnet 客户 端 请 求 TCP 用 得 到 的 IP 地 址 建立 连接 。 

(3) TCP 需要 发 送 一 个 连接 请 求 分 段 到 远 端的 主机 ,就 用 上 述 的 IP 地 址 来 构造 一 个 要 
发 送 的 IP 数据 报 。 

(4) IP 数据 报 需要 被 传送 到 位 于 本 地 网 络 上 的 目的 主机 或 路 由 器 (如 果 目 的 主机 不 在 
本 地 网 络 上 ,那么 就 需要 先 通过 IP 选 路 功能 确定 位 于 本 地 网 络 上 的 下 一 站 路 由 器 地 址 ,并 
由 路 由 器 来 转发 数据 ) 。 

(5) 对 以 太 网 来 讲 ,发送 主机 必须 先 把 32 位 的 IP 地 址 转换 成 48 位 的 以 太 网 地 址 , 即 
从 逻辑 Internet 地 址 到 对 应 的 物理 地 址 需要 进行 翻译 ,这 就 是 ARP 的 功能 。ARP 设计 用 
于 广播 网 络 , 即 有 许多 主机 和 路 由 器 连 在 同一 个 网 络 上 。 

(6) 如 果 发 送 主 机 不 能 在 自己 的 ARP 数据 库 中 获得 地 址 映射 所 需要 的 数据 , 则 ARP 
发 送 一 份 称 为 ARP 请 求 的 以 太 网 数据 帧 给 以 太 网 上 的 每 个 主机 ,这 个 过 程 称 为 ARP 广 
播 ,如 图 4-1 所 示 的 虚线 。ARP 请 求 数据 帧 中 包含 目的 主机 的 IP 地 址 ,其 用 意 是 希望 该 IP 
地 址 的 拥有 者 发 回 其 物理 地 址 。 








































































































主机 名 | 
域名 解析 巴 =|(1) Telnet 
IP 地 址 go 用 IP 地 址 
建立 连接 
TCP 
TCP 给 IP 地 址 发 
f 03) 送 IP 数 据 报 
IP ARP(7) (5) ARP | 一 [下 
(6) 1 (8) Hoo) 
以 天 网 | 1 T 以 天 网 
驱动 程序 | |! 1 驱动 程序 
1 ARP 应 答 
机 | | ARP 请 求 (以 太 网 广播 ) 
ES 了 














驱动 程序 











图 4-1 ARP 地 址 解析 操作 示例 


(7) 目的 主机 的 ARP 层 收 到 这 份 广播 报 文 后 ,识别 出 这 是 发 送 端 在 询问 其 IP 地 址 ,于 
是 构造 一 个 包含 自己 IP 地 址 及 对 应 物理 地 址 的 ARP 应 答 ,并 将 这 个 ARP 应 答 报 文 返回 给 
请 求 者 。 

(8) 发 送 主机 收 到 ARP 应 答 后 ,得 到 数据 传送 下 一 站 的 MAC 地 址 ,从 而 可 以 构造 出 
链 路 层 帧 。 这 时 IP 数据 报 就 可 以 传送 了 。 
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(9) 发 送 IP 数据 报到 目的 主机 。 
需要 注意 的 是 ,ARP 请 求 是 广播 的 。 因 此 ARP 请 求 帧 不 能 穿越 路 由 器 ,因为 路 由 器 对 
于 广播 报 文 是 不 转发 的 。 另 外 ,点 对 点 链 路 不 需要 使 用 ARP。 


4.2.2 ARP 协议 的 工作 过 程 


实现 ARP 功能 ,将 32 位 的 IP 地 址 映射 到 48 位 的 以 太 网 物理 地 址 可 以 有 不 同 的 方式 。 
常用 的 方式 一 种 是 直接 方式 ,一 种 是 动态 绑 定 方式 ,也 称 为 动态 联 编 方式 。 

直接 方式 是 事先 在 主机 中 建立 一 张 IP 地 址 到 物理 地 址 的 映射 表 , 这 是 一 个 静态 的 数据 
库 , 需 要 人 工 来 建立 和 维护 ,对 大 规模 的 网 络 不 太 适 合 , 同 时 可 能 出 现 更 新 不 及 时 的 问题 。 
但 这 种 静态 的 地 址 绑 定 方式 可 以 满足 一 些 特殊 的 要 求 , 如 安全 需要 。 

ARP 协议 的 工作 主要 采用 动态 绑 定 方式 , 即 通过 ARP 动态 地 广播 地 址 转换 请 求 ,只 在 
本 地 维护 一 个 动态 的 高 速 缓存 来 实现 地 址 映射 数据 的 存放 。 

有 关 ARP 功能 实现 的 具体 工作 过 程 ,描述 如 下 。 

(1) 每 个 主机 上 都 有 一 个 ARP 高 速 缓存 ,这 个 高 速 缓存 存放 了 最 近 使 用 的 IP 地 址 到 
物理 地 址 之 间 的 映射 记录 。 

(2) 当 发 送 端 封 装 IP 分 组 时 ,要 先 在 高 速 缓存 中 查找 相应 的 地 址 映射 记录 。 

(3) 如 果 找 不 到 , 则 ARP 发 送 一 份 称 为 ARP 请 求 的 以 太 网 数据 帧 给 以 太 网 上 的 每 个 
主机 ,这 个 过 程 称 为 ARP 广播 。 

(4) 目的 主机 的 ARP 层 收 到 这 份 广播 报 文 后 ,识别 出 这 是 发 送 端 在 询问 它 的 IP 地 址 ， 
于 是 发 送 一 个 包含 IP 地 址 及 对 应 物理 地 址 的 ARP 应 答 给 发 送 方 主机 。 

(5) 收 到 ARP 应 答 后 ,发 送 方 就 可 以 传送 IP 数据 报 了 。 

可 以 看 到 ,ARP 高 效 运行 的 关键 就 是 主机 中 有 存放 最 近 一 段 时 间 的 IP 地 址 到 物理 地 
址 之 间 映 射 记 录 的 高 速 缓存 。 

在 每 台 使 用 ARP 的 主机 中 ,都 保留 了 一 个 专用 的 高 速 缓存 区 ,存放 最 新 获得 的 IP 地 址 
到 物理 地 址 的 映射 数据 。 一 旦 收 到 ARP 应 答 ,主机 就 将 从 应 答 中 得 到 的 对 方 主 机 的 IP 地 
址 和 物理 地 址 存 人 高 速 缓存 。 当 要 发 送 报 文 时 ,主机 首先 从 高 速 缓存 中 查找 相应 的 数据 ,如 
果 找 不 到 ,再 利用 ARP 进行 地 址 广播 。 这 样 就 不 必 每 发 一 个 报 文 前 都 要 进行 动态 绑 定 。 

虽然 高 速 缓存 提高 了 ARP 的 效率 ,但 对 ARP 缓存 必须 建立 一 种 超时 机 制 ,使 缓存 中 
的 数据 在 超时 后 自动 失效 ,以 保证 协议 的 可 靠 运行 。 这 是 因为 如 果 不 设 超时 ,假如 网 络 上 的 
某 个 主机 的 地 址 关系 已 经 改变 (如 更 换 网 卡 、 更 改 IP 地 址 等 ) ,而 本 地 主机 高 速 缓存 中 已 经 
有 了 对 方 的 绑 定 信息 ,就 可 能 发 送 地 址 错误 的 信息 。 

为 了 适应 这 种 情况 ,一 般 ARP 协议 使 用 计时 器 方法 , 当 计 时 器 超时 后 , 则 删除 地 址 绑 
定数 据 。 例 如 ,在 地 址 绑 定 信息 放 入 ARP 缓存 时 ,协议 需要 设置 一 个 计时 器 ,一 般 典 型 的 
超时 时 间 是 20 分 钟 ,超时 后 可 以 把 地 址 信息 删除 。 如 果 删 除 后 又 有 分 组 需要 发 送 到 这 个 地 
址 ,由 于 在 缓存 中 不 存在 地 址 绑 定 ,计算 机 只 需 遵 循 通常 的 过 程 , 广 播 一 个 ARP 请 求 即 可 。 

为 了 提高 效率 ,ARP 高 速 缓存 还 做 了 以 下 改进 。 

(1) 在 ARP 请 求 报 文中 放 入 发送 方 的 IP 地 址 与 物理 地 址 的 绑 定 ,这 样 可 以 防止 接收 
方 可 能 存在 的 紧 接着 为 解析 发 送 方 的 物理 地 址 ,再 进行 一 次 ARP 请 求 的 情况 发 生 。 也 就 
是 说 ,如 果 接 收 方 的 高 速 缓存 中 没有 发 送 方 的 地 址 绑 定 信息 ,那么 接收 方 会 把 收 到 的 ARP 
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请 求 报 文中 发 送 方 的 地 址 信息 添加 到 自己 的 高 速 缓存 中 。 

(2) 发 送 方 在 广播 自己 的 地 址 绑 定 时 ,网 上 所 有 主机 都 可 以 将 该 绑 定 信息 存 人 自己 的 
高 速 缓存 。 不 过 不 是 所 有 的 网 络 设备 或 系统 实现 都 支持 这 样 的 情况 。 

(3) 新 机 入网 时 或 主机 更 换 网 卡 时 ,会 主动 广播 地 址 绑 定 信息 ,以免 其 他 主机 对 其 进行 
ARP 请 求 , 这 就 是 免费 ARP(gratuitous ARP) 。 

可 以 用 arp 命令 来 检查 和 操作 ARP 高 速 缓存 的 内 容 ( 命 令 用 法 见 实验 4-1) 。 


4.2.3 ARP 协议 报 文 格式 


ARP 报 文 直接 与 数据 链 路 层 通信 ,这 和 IP 报 文 是 一 样 的 。 
封装 有 ARP 分 组 的 以 太 网 帧 报 文 格式 如 图 4-2 所 示 。 















































以 太 网 | 以 太 网 | 帧 | 硬件 | 协议 | 物理 | 协议 | 操 | 发 送 端 | 发 送 端 | 接收 端 | 接收 端 
日 的 | 源 类 | 类 型 | 类 型 | 地 址 | 地 址 | “| 以 太 网 | 网 络 “| 以 太 网 | 网 络 
地 址 | 地 址 | 型 长 度 | 长 度 | 作 | 地址 | 地 址 | 地 址 | 地 址 
6 6 2 2 2 1 1 2 6 4 6 4 

-一 以 大 网 首部 一 |- 28 池 节 的 ARP 请 求 Ix 答 一 -| 





4-2 用 于 以 太 网 的 ARP 请 求 /应 答 分 组 格式 


以 太 网 报头 中 的 前 两 个 字段 是 以 太 网 的 源 地址 和 目的 地 址 , 即 收发 方 以 太 网 的 MAC 
地 址 ,长度 各 为 6 个 字 节 。 目 的 地 址 为 全 1 的 特殊 地 址 是 广播 地 址 ,在 ARP 请 求 报 文 中 会 
用 到 。 

两 个 字 节 长 的 以 太 网 帧 类 型 表示 后 面 数据 的 类 型 。 对 于 ARP 请 求 或 应 答 来 说 ,该 字 
段 的 值 为 0x0806 。 

ARP 报 文 包含 9 个 字段 ,其 报 文大 小 根据 本 地 网 络 媒介 上 使 用 的 物理 地 址 的 大 小 的 变 
化 而 变化 。 当 物理 媒介 是 以 太 网 时 ,在 图 4-2 中 标示 出 的 长 度 为 28 字 节 。 报 文 的 前 5 个 字 
段 用 来 提供 ARP 报 文 的 整体 功能 的 描述 ,后 4 个 字段 是 ARP 有 关 的 具体 地 址 信息 。 各 个 
字段 的 含义 如 下 。 

(1) 硬件 类 型 : 2 字 节 ,表示 被 请 求 的 物理 地 址 的 类 型 。DIX Ethernet 的 地 址 类 型 值 为 
1,IEEE 802.X 的 类 型 值 为 6, 还 可 以 有 其 他 的 类 型 取 值 ,这 里 不 一 一 列 出 。 

(2) 协议 类 型 : 2 字 节 ,表示 要 映射 的 协议 类 型 。 因 为 ARP 直接 与 物理 媒介 的 数据 链 
路 的 接口 通信 ,所 以 并 不 只 专用 于 IP, 而 是 可 以 让 任何 高 层 协 议 用 来 寻找 与 高 层 协议 地 址 
相关 的 物理 地 址 。 取 值 为 0x0800 即 表示 IP 地 址 (这 个 值 与 包含 IP 数据 报 的 以 太 网 数据 帧 
中 类 型 字段 的 值 相 同 ) 。 

(3) 物理 地 址 长 度 : 1 字 节 ,根据 硬件 类 型 确定 的 硬件 地 址 的 字 节 数 。ARP 适应 多 种 
网 络 技 术 , 其 地 址 字段 的 长 度 取决 于 网 络 媒介 类 型 。 对 于 以 太 网 ,这 个 值 是 6。 

(4) 协议 地 址 长 度 : 1 字 节 ,高 层 协议 地 址 的 长 度 ,以 字 节 为 单位 。 对 于 IP 协议 来 说 ， 
这 个 地 址 的 值 总 是 4。 

(5) 操作 : 2 字 节 ,表示 ARP 报 文 类 型 。 这 个 字段 也 称 为 操作 码 ,用 于 区 分 报 文 是 
ARP 请 求 还 是 应 答 ,或 者 是 RARP 请 求 或 应 答 。 这 个 字段 是 必需 的 ,因为 ARP 请 求 和 
ARP 应 答 的 帧 类 型 字段 值 是 相同 的 。 操 作 字 段 的 取 值 如 表 4-1 所 示 。 
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表 4-1 ARP 报 文 中 操作 字段 的 取 值 


操作 取 值 操作 说 明 
ARP 请 求 
ARP 应 答 
RARP 请 求 
RARP 应 答 





ww 


(6) 发 送 端 以 太 网 地 址 : 发 送 该 ARP 报 文 的 主机 物理 地 址 。 对 于 以 太 网 ,这 个 字段 长 
度 总 是 6 字 节 , 即 48 位 的 MAC 地 址 。 

(7) 发 送 端 网 络 地 址 : 对 于 IP 网 络 , 这 就 是 发 送 该 ARP 报 文 的 主机 IP 地 址 ,所 以 长 度 
是 4 字 节 。 

(8) 接收 端 以 太 网 地 址 : 该 ARP 报 文 的 目的 主机 的 物理 地 址 。 对 于 以 太 网 ,这 个 字段 
长 度 也 是 6 字 节 。 

(9) 接收 端 网 络 地 址 : 4 字 节 ,ARP 报 文 的 目的 主机 的 IP 地 址 。 

当 一 个 设备 发 送 ARP 请 求 时 , 先 要 填充 报 文中 后 4 个 与 地 址 相关 的 字段 中 的 3 个 , 即 
发 送 端 以 太 网 地 址 和 网 络 地 址 ,还 提供 目标 的 IP 地 址 ,因为 目标 的 物理 地 址 是 不 知道 的 ,此 
时 这 个 字段 填充 为 0。 另 外 ,会 设置 操作 字段 为 “1”, 表 明 当 前 的 报 文 是 一 个 ARP 请 求 。 然 
后 在 局 域 网 上 广播 这 个 请 求 , 使 得 所 有 设备 都 能 侦 听 到 。 一 旦 主机 侦 听 到 针对 自己 的 地 址 
请 求 , 则 提供 自己 的 物理 地 址 构造 响应 报 文 反馈 给 请 求 主机 。ARP 响应 报 文中 交换 请 求 方 
和 响应 方 的 IP 地 址 和 物理 地 址 信息 ,并 把 响应 报 文 操作 字段 设置 为 “2”, 表 明 当前 报 文 是 一 
个 ARP 应 答 。 该 报 文 会 直接 传送 给 远 端 请 求 者 ,而 不 再 是 广播 发 送 。 


4.3 特殊 的 ARP 
So 


由 于 主机 工作 的 特殊 时 期 或 网 络 连接 的 特定 状况 ,会 形成 特殊 的 ARP 工作 状况 ,分别 
是 免费 ARP 和 代理 ARP。 


4.3.1 免费 ARP 


免费 ARP 是 指 主 机 发 送 ARP 请 求 查 找 自己 的 IP 地 址 。 这 时 ARP 请 求 报 文中 发 送 端 
的 IP 地 址 和 目的 端的 IP 地 址 是 一 样 的 ,同时 这 个 ARP 请 求 不 希望 得 到 ARP 应 答 。 

免费 ARP 通常 发 生 在 系统 引导 期 间 进 行 接口 配置 的 时 候 。 主 机 系统 重新 引导 可 能 引 
发 和 地 址 有 关 的 变化 。 例 如 ,主机 的 IP 地 址 变化 或 物理 地 址 变化 ,这 种 变化 需要 及 时 通知 
到 网 络 上 ,以便 其 他 主机 及 时 更 新 其 相关 的 地 址 绑 定 信息 。 因 此 ,免费 ARP 通常 有 以 下 两 
个 方面 的 作用 。 

(1) 测试 网 络 上 是 否 存在 重复 的 IP 地 址 。 一 个 新 加 入 IP 网 络 的 主机 在 开始 通信 之 前 
应 该 完成 重复 IP 地 址 的 测试 。 在 这 个 测试 过 程 中 ,IP 主机 向 其 自身 拥有 的 IP 地 址 发 送 一 
个 ARP 请 求 , 其 实 是 在 局 域 网 中 广播 自己 的 地 址 绑 定 关系 。 如 果 另 一 台 主 机 响应 这 个 
ARP 请 求 , 则 说 明 该 IP 地 址 已 经 在 用 ,那么 该 主机 就 不 能 初始 化 自己 的 TCP/IP 栈 。 虽 然 
主机 发 出 免费 ARP 请 求 , 但 并 不 希望 收 到 相应 的 ARP 应 答 ,因为 应 答 意 味 着 网 络 上 的 IP 
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地 址 出 现 了 冲突 。 

(2) 更 新 网 络 上 其 他 主机 中 的 地 址 绑 定 信息 。 如 果 发 送 免费 ARP 的 主机 的 IP 地 址 并 
未 变化 ,但 正好 改变 了 物理 地 址 ,如 更 换 了 网 卡 ,那么 这 个 分 组 就 可 以 使 网 络 上 其 他 主机 对 
其 高 速 缓存 中 旧 的 物理 地 址 进行 相应 的 更 新 。 根 据 ARP 协议 的 规定 ,网 络 上 的 主机 如 果 
收 到 某 个 IP 地 址 的 ARP 请 求 并 且 这 个 地 址 已 经 在 接收 者 的 高 速 缓 存 中 ,那么 就 要 用 ARP 
请 求 中 发 送 的 物理 地 址 对 高 速 缓存 中 相应 的 内 容 进 行 更 新 。 主 机 接收 到 任何 ARP 请 求 都 
要 完成 这 个 操作 。 


4.3.2 代理 ARP 


代理 ARP(proxy ARP) 也 称 为 ARP 代理 ,是 指 如 果 ARP 请 求 是 从 一 个 网 络 的 主机 发 
往 另 一 个 网 络 上 的 主机 ,那么 连接 这 两 个 网 络 的 路 由 器 就 可 以 回答 该 请 求 , 这 个 过 程 称 为 代 
理 ARP 或 委托 ARP。 

为 了 更 清楚 地 说 明代 理 ARP 的 工作 特点 ,在 Packet Tracer 中 考查 如 图 4-3 所 示 的 网 
络 。 图 中 的 路 由 器 Router0 连接 了 两 个 局 域 网 192. 168. 1. 0/24 和 192. 168. 2.0/16。 路 由 
器 上 只 做 了 静态 路 由 配置 。 图 中 已 经 把 路 由 器 和 各 个 主机 的 接口 IP 地 址 和 MAC 地 址 标 
示 出 来 了 。 需 要 注意 的 是 ,图 4-3 右边 的 网 络 192. 168. 2. 0/16 的 网 络 号 做 了 特别 的 设置 ， 
即 与 左边 网 络 192. 168. 1. 0/24 的 高 16 位 相同 。 另 外 ,为 了 在 PC3 处 观察 到 ARP 代理 现 
象 ,PC3 不 配置 默认 网 关 。 










PC-PT 

PCO 
192.168.1.10/24 192.168.1.12/24 
0030.F2CE.9D2C 0000.0CCC.80E2 


192.168.2.1/16 
00D0.D359.E002 


~ 192.168.2.0/16 
AAA 





192.168.1.1/24 

2950T-24 
i 00D0.D359.E001 1841 
Switch3 Rr 






192.168.1.0/24 
rf a 
par PC-PT 
PC3 
192.168.1.11/24 
0060.5C3D.6C99 192.168.2.20/16 


000A.4180,503E 
4-3 代理 ARP 工作 的 例子 


如 果 从 图 4-3 中 的 PC3 上 发 起 对 192. 168. 1. 0/24 网 络 中 任意 主机 的 通信 ,假定 是 运行 
命令 “ping 192. 168. 1. 11”,PC3 上 的 IP 协议 栈 会 用 自己 的 网 络 号 来 判断 要 通信 的 主机 
PC1 是 否 和 自己 在 同一 网 段 , 即 用 主机 的 网 络 掩 码 对 目的 IP 地 址 进行 运算 。 由 于 得 到 的 网 
络 号 192. 168. 0.0 和 自己 在 同一 网 络 ,因此 PC3 会 将 IP 数据 包 发 出 。 但 为 了 构造 数据 链 
路 层 的 帧 ,PC3 需要 先 发 出 一 个 ARP 请 求 , 以 获得 PC1 的 MAC 地 址 。 

此 时 ,路 由 器 Router0 收 到 这 个 ARP 请 求 帧 ,因为 路 由 器 不 转发 广播 帧 ,所 以 这 个 
ARP 请 求 会 被 路 由 器 接收 ,但 是 不 能 被 PC1 收 到 。 此 时 路 由 器 知道 目的 地 址 192. 168. 1. 11 
在 自己 连接 的 另 一 个 子 网 中 , 它 就 会 以 自己 的 Fa0/1 接口 的 MAC 地 址 00D0. D359. E002 
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回答 PC3 。 

当 PC3 接收 到 路 由 器 的 回答 后 ,将 更 新 MAC 地 址 表 , 把 IP 地 址 192. 168. 1. 11 和 
MAC 地 址 00D0. D359. E002 进行 绑 定 。 从 此 ,PC3 就 把 所 有 发 给 PC1 的 分 组 全 部 抛 向 路 
由 器 的 Fa0/1 接口 。 

同 理 ,PC3 对 网 络 192. 168. 1. 0/24 中 的 任何 一 台 主 机 进行 访问 ,都 会 产生 一 个 和 上 述 
过 程 相同 的 ARP 请 求 和 处 理 过 程 。 在 PC3 看 来 ,这 些 主 机 的 IP 地 址 都 对 应 了 路 由 器 的 
Fa0/1 接口 的 MAC 地 址 。 可 以 认为 路 由 器 Router0 欺骗 了 发 起 ARP 请 求 的 PC3 ,使 其 误 
以 为 路 由 器 就 是 目的 主机 ,而 事实 上 目的 主机 是 在 路 由 器 的 “ 另 一 边 ”。 

可 见 ,路 由 器 的 功能 相当 于 目的 主机 的 代理 ,把 分 组 从 其 他 主机 转发 给 它 。 这 时 在 PC3 
的 ARP 高 速 缓存 中 多 个 不 同 的 IP 地 址 都 被 指向 路 由 器 的 接口 地 址 (用 arp 命令 查看 )。 这 
种 多 个 IP 地 址 被 映射 到 一 个 MAC 地 址 就 是 代理 ARP 的 标志 。 

这 个 例子 中 ,路 由 器 的 ARP 代理 方式 曾经 用 来 连接 两 个 不 同 的 物理 网 络 , 使 得 它们 之 
间 互 相 隐藏 而 感觉 像 在 同一 个 网 络 中 。 

在 实际 应 用 中 ,主机 一 般 都 会 配置 默认 网 关 , 这 时 访问 不 在 同一 个 网 络 的 主机 的 IP 数 
据 报 都 通过 默认 网 关 转 发 ,ARP 高 速 缓存 中 就 只 有 默认 网 关 的 地 址 绑 定 信息 了 。 不 过 
Packet Tracer 对 此 的 处 理 似乎 和 实际 系统 中 的 不 同 。 

代理 ARP 有 两 大 应 用 ,一 个 是 有 利 的 , 即 在 防火 墙 实现 中 常 说 的 透明 模式 的 实现 ; 另 
一 个 是 有 害 的 ,就 是 通过 它 可 以 达到 在 交换 环境 中 进行 嗅 探 的 目的 。 

通常 在 局 域 网 交换 环境 中 使 用 Sniffer Pro 一 类 的 嗅 探 工 具 除 了 抓 到 自己 的 包 以 外 ,是 
不 能 看 到 其 他 主机 的 网 络 通信 的 ,但 是 利用 ARP 欺骗 就 可 以 实现 嗅 探 。 

同样 以 图 4-3 为 例 。PC0、PC1l 和 PC2 是 位 于 同一 个 交换 环境 的 局 域 网 中 的 主机 ,假定 
PC0 是 局 域 网 中 的 网 关 , 局 域 网 中 每 个 节点 向 外 的 通信 都 要 通过 它 。PC1 想 要 监听 主机 
PC2 的 通信 , 则 需要 先 使 用 ARP 欺骗 ,让 主机 PC2 认为 它 就 是 主机 PC0。 此 时 PC1 可 以 发 
一 个 IP 地 址 为 192. 168. 1. 10, 物 理 地 址 为 0060. 5C3D. 6C99 的 ARP 响应 包 给 主机 PC2。 
根据 ARP 的 工作 机 制 ,PC2 会 更 新 自己 的 ARP 高 速 缓存 ,并 把 发 往 主机 PC0 的 包 发 往 物 
理 地 址 为 0060. 5C3D. 6C99 的 主机 PC1。 这 样 便 达成 了 ARP 欺骗 。 同 理 , 还 要 让 网 关 PC0 
相信 PC1 就 是 主机 PC2,PC1 要 向 PC0 发 送 一 个 IP 地 址 为 192. 168. 1. 12, 物 理 地 址 为 
0060. 5C3D. 6C99 的 ARP 响应 报 文 以 欺骗 PC0。 

在 网 络 安全 实践 中 ,ARP 欺骗.ARP 病毒 的 形式 还 有 许多 ,但 都 与 ARP 协议 的 工作 机 
制 有 密切 的 联系 。 本 章 实验 中 有 相关 的 学 习 内 容 供 感 兴趣 的 读者 参考 。 


4.14 RARP 协议 


RARP 用 于 支持 无 盘 工 作 站 在 引导 或 启动 时 获得 自身 的 IP 地 址 。 由 于 无 盘 工 作 站 中 
没有 硬盘 ,更 准确 地 说 是 没有 存放 有 引导 所 需 操作 系统 文件 的 辅助 存储 器 ,因而 需要 从 网 络 
上 获得 引导 所 需 的 操作 系统 文件 ,这 就 必须 先 获得 自身 的 IP 地 址 ,从 而 和 存放 有 操作 系统 
文件 的 服务 器 进行 通信 。 

RARP 经 常 和 TFTP(Trivial File Transfer Protocol ,简单 文件 传输 协议 ) 一 起 使 用 , 即 
通过 RARP 获得 IP 地 址 ,用 TFTP 从 服务 器 获得 操作 系统 文件 。 
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无 盘 工 作 站 的 网 卡带 有 可 引导 芯片 (一 般 网 卡 没有 ,支持 无 盘 引 导 则 需要 专门 的 网 卡 和 
相应 的 引导 芯片 ) 。 在 无 盘 工 作 站 启动 时 ,网 卡 上 的 引导 芯片 从 系统 服务 器 中 取 回 所 需 数 据 
供用 户 使 用 。 无 盘 系统 的 RARP 实现 过 程 可 以 简单 表述 如 下 。 

(1) 从 接口 卡 上 读 取 唯一 的 物理 地 址 (MAC 地 址 ) 。 

(2) 发 送 一 份 RARP 请 求 , 请 求 某 个 RARP 服务 器 响应 该 无 盘 系 统 的 了 P 地 址 。RARP 
请 求 在 网 络 上 广播 , 它 在 分 组 中 标明 发 送 端的 物理 地 址 ,以 请 求 相 应 IP 地 址 的 响应 。 

(3) 如 果 网 络 上 有 RARP 服务 器 收 到 这 个 请 求 , 则 发 送 一 个 RARP 应 答 ,其 中 包含 为 
无 盘 主 机 分 配 的 IP 地 址 。RARP 应 答 通常 是 单 播 传送 的 。 

(4) 如 果 网 络 上 没有 RARP 服务 器 ,无 盘 主机 会 按 一 定 的 时 间 间 隔 持续 地 发 送 RARP 
请 求 到 网 络 上 。 

RARP 采用 特殊 类 型 的 以 太 网 帧 来 封装 ,其 以 太 网 帧 类 型 值 为 0x8035。 

RARP 的 分 组 格式 基本 上 与 ARP 分 组 一 致 ,请 参见 图 4-2 中 对 ARP 分 组 格式 的 描述 。 
区 分 RARP 请 求 或 应 答 的 依据 是 表 4-1 中 给 出 的 分 组 中 操作 字段 的 取 值 。 

RARP 在 实现 上 的 主要 问题 是 RARP 服务 器 的 复杂 性 ,这 主要 体现 在 以 下 两 个 方面 。 

(1) RARP 服务 器 一 般 要 为 多 个 主机 提供 物理 地 址 到 IP 地 址 的 映射 ,该 映射 包含 在 一 
个 磁盘 文件 中 。 由 于 内 核 一 般 不 读 取 和 分 析 磁 盘 文 件 , 因 此 RARP 服务 器 的 功能 需 由 用 户 
进程 来 提供 ,而 不 是 作为 内 核 的 TCP/IP 实现 的 一 部 分 。 但 是 由 于 RARP 采用 特殊 类 型 的 
以 太 网 帧 来 传送 ,其 实现 又 必须 和 系统 捆绑 在 一 起 ,因而 在 实现 上 较为 复杂 。 

(2) 路 由 器 不 转发 导致 需要 多 个 RARP 服务 器 。RARP 使 用 链 路 层 广 播 ,大 多 数 路 由 
器 不 会 转发 RARP 请 求 。 为 了 让 无 盘 系 统 在 RARP 服务 器 关机 的 状态 下 也 能 引导 ,通常 在 
一 个 网 络 上 需要 提供 多 个 RARP 服务 器 。 这 样 协调 各 个 服务 器 的 工作 就 成 了 一 个 问题 。 

BOOTP( Bootstrap Protocol, 引导 程序 协议 ) 及 后 来 的 DHCP (Dynamic Host 
Configuration Protocol, 动 态 主 机 配置 协议 ) 提 供 了 更 加 健壮 、 灵 活 的 分 配 IP 地 址 的 方法 ， 
目前 已 取代 了 RARP。 


人 5 小 结 


(1) 在 大 多 数 TCP/IP 实现 中 ,ARP 是 一 个 基础 协议 ,用 于 在 将 IP 分 组 封装 到 数据 链 
路 层 帧 中 的 时 候 , 获 得 IP 地 址 对 应 的 网 络 接口 的 物理 地 址 。 

(2) ARP 地 址 解析 过 程 是 由 系统 协议 栈 自 动 完成 的 ,其 运行 对 于 应 用 程序 或 系统 管理 
员 来 说 一 般 是 透明 的 ,动态 的 。 

(3) ARP 高 速 缓存 在 协议 的 运行 过 程 中 非常 关键 ,其 中 的 地 址 绑 定 记录 是 协议 工作 的 
基础 数据 结构 。 同 时 ,高 速 缓存 中 每 一 项 记录 的 内 容 都 有 一 个 定时 器 ,根据 它 来 删除 不 完整 
和 完整 的 表 项 。 用 户 可 以 用 arp 命令 对 高 速 缓 存 进 行 检查 和 操作 。 

(4) ARP 分 组 以 特定 的 帧 类 型 封装 在 以 太 网 帧 中 ,其 报 文 格式 中 的 操作 字段 区 分 了 
ARP 的 报 文 类 型 。 

(5) 免费 ARP 是 一 种 特殊 的 ARP, 用 于 在 系统 网 络 发 生变 化 或 系统 重 置 时 保持 ARP 
地 址 解析 的 有 效 性 。 

(6) 代理 ARP 是 路 由 器 用 一 个 接口 的 物理 地 址 来 对 其 他 网 络 地 址 的 ARP 请 求 进行 应 
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答 。 主 机 ARP 高 速 缓存 中 多 个 IP 地 址 被 映射 到 同一 个 MAC 地 址 就 是 代理 ARP 的 标志 。 
ARP 欺骗 主要 就 是 利用 了 代理 ARP 的 机 制 。 


人 6 习题 


1. 如 果 本 地 ARP 高 速 缓存 为 空 ,输入 远程 操作 命令 查看 网 络 上 名 为 remotehost 的 
UNIX 主机 的 高 速 缓 存 。 
localhost $ rsh remotehost arp ~-a 


如 果 发 现 目 的 主机 上 的 ARP 高 速 缓存 也 是 空 的 , 那 将 会 发 生 什么 情况 ? 

2. RARP 需要 不 同 的 帧 类 型 字段 吗 ?” ARP 和 RARP 都 使 用 相同 的 值 0x0806 吗 ? 

3. 如 果 客 户 机 试图 与 一 个 正在 更 换 以 太 网 网 卡 而 处 于 关机 状态 的 服务 器 主机 联系 ,这 
时 会 发 生 什么 情况 ? 如 果 服 务 器 在 引导 过 程 中 广播 一 份 免费 ARP, 这 种 情况 是 否 会 发 生 
变化 ? 





合 网 络 安全 的 知识 ,了 解 ARP 欺骗 在 当前 网 络 攻击 中 的 主要 形式 ,以 及 防范 的 方 
法 有 哪些 ? 


实验 


实验 4-1 arp 命令 
1. 实验 说 明 


ARP 高 速 缓存 在 协议 的 运行 过 程 中 非常 关键 ,可 以 利用 arp 命令 对 高 速 缓存 进行 检查 
和 操作 。 高 速 缓存 中 每 一 项 的 内 容 都 有 一 个 定时 器 ,根据 它 来 删除 不 完整 或 完整 的 表 项 。 
arp 命令 可 以 显示 和 修改 ARP 高 速 缓存 中 的 内 容 。 本 实验 通过 在 不 同 操作 系统 的 命令 行 
方式 下 使 用 arp 命令 ,掌握 协议 的 工作 特点 。 

Windows 系统 中 ,arp 命令 的 格式 说 明 如 下 。 

arp -a[inetaddr] [~—n ifaceaddr] [~—g [inetaddr] [~ n ifaceaddr]] 

[-d inetaddr [ifaceaddr]] [- s inetaddr etheraddr [ifaceaddr]] 
其 中 : 

(1) -a [inetaddr] [-n ifaceaddr] 显 示 接 口 的 当前 ARP 缓存 表 。inetaddr 参数 用 于 显示 
包含 指定 IP 地 址 的 本 地 ARP 缓存 项 。 要 显示 指定 接口 的 ARP 缓存 表 , 用 *-n ifaceaddr” 参 
数 ,此 处 的 ifaceaddr 代表 指定 接口 的 IP 地 址 。 注 意 ,-n 和 -a 两 参数 要 一 起 使 用 。 

(2) -g Linetaddr] [-n ifaceaddr] 与 -a 相同 。 

(3) -d inetaddr [ifaceaddr] 删 除 指定 的 IP 地 址 项 ,此 处 的 inetaddr 和 ifaceaddr 参数 含 
义 与 上 述 用 法 相同 。 要 删除 所 有 表 项 ,请 使 用 通配符 星 号 ( * ) 代 替 inetaddr。 

(4) -s inetaddr etheraddr [ifaceaddr] 向 ARP 缓存 添加 可 将 IP 地 址 inetaddr 解析 成 物 
理 地 址 etheraddr 的 静态 项 。 要 向 指定 接口 的 表 添 加 静态 ARP 缓存 项 ,用 ifaceaddr 参数 给 
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出 接口 的 JP 地 址 。 

注意 : inetaddr 和 ifaceaddr 的 IP 地 址 用 点 分 十 进 制 表示 。 物 理 地 址 etheraddr 用 十 六 
进 制 表示 并 且 用 连 字符 隔 开 ( 如 00-1B-00-4A-2C-9E)。 通 过 -s 参数 添加 的 项 目 属于 静态 表 
项 目 , 它 们 不 会 在 ARP 缓存 中 老化 。 如 果 终 止 TCP/IP 协议 后 再 启动 ,这 些 项 目 会 被 删除 。 
要 创建 永久 的 静态 ARP 缓存 项 ,可 以 把 相应 的 arp 命令 写 到 批 处 理 文件 中 ,在 启动 时 通过 
“计划 任务 程序 ”运行 该 批 处 理 文件 。 

需要 注意 的 是 ,Windows 环境 下 和 Linux 环境 下 的 arp 命令 的 用 法 是 有 差异 的 。 


2. 实验 环境 
Windows 操作 系统 ,Linux 操作 系统 ,网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 ) 。 
3. 实验 步骤 


(1) Windows 系统 下 的 arp 命令 。 

步骤 1 在 Windows 中 的 选择 “运行 "命令 ,输入 “cmd”, 进 入 命令 行 窗 口 。 

步骤 2 查看 arp 命令 的 所 有 用 法 。 输 入 不 带 任何 参数 的 命令 “arp” 或 “arp/?”, 认 真 阅 
读 命令 使 用 说 明 ,并 对 照 使 用 命令 。 

步骤 3 显示 查看 ARP 高 速 缓存 中 的 所 有 内 容 。 在 提示 符 后 输入 命令 “arp -a”。 

在 输出 的 ARP 缓存 表 信 息 中 的 内 容 挑选 某 个 指定 的 IP, 查 看 其 ARP 信息 。 


arp 一 aIP 


步骤 4 查看 指定 接口 或 地 址 的 ARP 缓存 信息 。 输 入 命令 “arp -an IP? 或 “arp -a IP1 
-n IP2”。 

依据 步骤 3 的 输出 ,如 果实 验 机 上 不 止 一 个 网 络 接口 ,可 以 在 命令 中 用 -n 选项 来 查看 
指定 IP 地 址 的 接口 的 ARP 缓存 表 。 

步骤 5 增加 高 速 缓存 中 的 静态 内 容 ( 新 增加 的 内 容 是 永久 性 的 )。 注 意 添加 和 删除 
ARP 高 速 缓存 中 的 项 目 均 需 管理 员 权限 。 按 下 列 命令 格式 ,在 ARP 缓存 中 添加 项 目 。 


arp — s IP etheraddr [ifaddr] 


参数 ifaddr 用 来 指定 在 本 机 中 哪 一 个 接口 的 ARP 表 中 添加 项 目 。 
步骤 6 删除 指定 ARP 项 ,使 用 下 列 命令 可 以 删除 指定 IP 地 址 所 在 行 的 内 容 。 


arp —d IP [ifaddr] 


用 该 命令 删除 在 步骤 5 中 添加 的 表 项 。ifaddr 含义 和 添加 项 目 是 一 样 。 

(2) Linux 系统 下 的 arp 命令 。 

注意 ,Linux 系统 下 的 arp 命令 的 用 法 和 命令 输出 与 Windows 下 的 arp 命令 略 有 差异 。 

步骤 1 在 Linux 终端 窗口 中 查看 arp 命令 的 所 有 用 法 。 输 入 命令 “man arp” 或 “arp 一 
help”, 认 真 阅读 命令 使 用 说 明 ,并 对 照 使 用 。 

步骤 2 显示 查看 ARP 高 速 缓存 中 的 所 有 内 容 , 输 入 命令 “arp” 或 “arp -a”, 也 可 以 输 
人 命令 “arp -n”。 

输出 信息 中 Flags 项 里 的 “C” 表 示 该 项 目 是 高 速 缓 存 中 的 内 容 , 高 速 缓 存 中 的 内 容 过 一 
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段 时 间 ( 不 同 的 系统 设置 不 同 , 一 般 10 一 20 分 钟 ) 会 自动 清空 ;“M” 则 表示 静态 表 项 ,不 会 
自动 清空 。 

如 果 要 查看 包含 指定 地 址 的 表 项 ,使 用 命令 “arp IP”。 

如 果 要 查看 指定 接口 的 ARP 缓存 ,使 用 命令 “arp -i iface”, 这 里 iface 是 接口 的 名 称 ,如 
eth0 ,可 以 使 用 命令 ifconfig 来 查看 系统 接口 的 情况 。 

注意 : -v 选项 会 使 命令 的 输出 内 容 更 详细 。 

步骤 3 增加 和 删除 高 速 缓存 中 的 表 项 ,Linux 下 的 命令 和 Windows 下 的 命令 相似 。 

使 用 命令 “arp -f” 可 以 从 /etc/ethers 中 读 取 ARP 表 信 息 并 替换 ARP 高 速 缓存 中 的 内 
容 , 这 为 维持 MAC 绑 定 提供 了 手段 。 也 可 以 指定 文件 替换 ARP 缓存 。 

步骤 4 在 ARP 缓存 中 添加 记录 ,以 便 用 指定 的 MAC 地 址 来 回复 ARP 请 求 ( 作 用 ， 
主机 ARP 代理 )。 在 命令 格式 中 增加 一 个 pub 参数 。 

















arp pub -s 
如 命令 
/usr/sbin/arp - ieth0 -Ds 10.0.0.2 ethl pub 


该 命令 的 作用 是 使 eth0 收 到 IP 地 址 为 10. 0. 0. 2 的 请 求 时 ,将 用 ethl 的 MAC 地 址 回 
答 。-D 不 是 指定 物理 地 址 ,而 是 指定 一 个 网 络 接口 的 名 称 , 表 项 将 使 用 相应 接口 的 MAC 
地 址 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 结果 ,熟悉 arp 命令 的 用 法 ,比较 Windows 
和 Linux 下 arp 命令 的 不 同 。 


5. 观察 思考 

在 不 同 的 系统 中 ,arp 缓存 的 更 新 时 间 有 何 差别 ? 

实验 4-2 ”ARP 请 求 与 应 答 

1. 实验 说 明 

分 别 在 模拟 和 真实 环境 中 观察 分 析 ARP 协议 的 报 文 格式 ,理解 ARP 协议 的 解析 过 程 。 
2. 实验 环境 


Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 ) ,安装 有 Packet Tracer 
6.0,Wireshark 1. 10。 


3. 实验 步骤 


(1) 在 Packet Tracer 中 观察 ARP 协议 。 
步骤 1 启动 Packet Tracer, 建 立 如 图 4-4 所 示 的 拓扑 结构 。 
步骤 2 按 图 4-4 配置 网 络 接口 地 址 ,PC0 上 没有 设置 默认 网 关 地 址 ,PC1 的 默认 网 关 
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172.16.10.99/24 172.16.20.99/24 


mac:0001 “me” 1.C9C3.5B02 
172.16.10.100/16 172.16.20.100/24 


mac:0060.5CED.C670 = 1841 ~~~ mac:0090.217C.E2D8 
ne 


Router0 一 ~ 
人 全 
亡 8 


PC-PT PC-PT 
PC0 PC1 


图 4-4 ARP 协议 实验 拓扑 图 


设置 为 172. 16. 20.99。 注 意 ,图 4-4 中 的 MAC 地 址 是 Packet Tracer 6.0 自动 生成 的 ,实验 
时 以 软件 实际 取 值 为 准 。 
步骤 3 在 路 由 器 Router0 上 查看 ARP 表 , 执 行 以 下 命令 。 


Router# show arp 


查看 各 个 表 项 内 容 ,注意 其 中 是 否 有 172. 16. 20. 100 的 表 项 。 
步骤 4 切换 到 模拟 方式 ,然后 在 路 由 器 Router0 执行 以 下 命令 。 


Router# ping 172.16.20.100 


观察 设备 收发 数据 。 可 以 看 到 ,因为 没有 在 自己 的 ARP 表 中 查找 到 与 IP 地 址 
172. 16. 20. 100 对 应 的 表 项 ,不 能 构造 出 链 路 层 帧 ,路 由 器 Router0 丢弃 了 第 一 个 ICMP 报 
文 。 随 即 发 出 了 ARP 请 求 ,PC1 在 收 到 ARP 请 求 后 作出 ARP 应 答 ,Router0 收 到 应 答 后 
更 新 自己 的 ARP 表 。 在 下 一 个 ICMP 报 文 发 出 时 ,路 由 器 就 能 顺利 地 构造 出 链 路 层 帧 了 。 
这 解释 了 为 什么 路 由 器 在 第 一 次 执行 ping 命令 时 ,表示 连通 的 符号 第 一 个 总 是 不 通 ,表示 
连通 的 惊叹 号 总 是 4 个 。 

再 次 在 Router0 上 查看 ARP 表 , 可 以 看 到 新 增 的 172. 16. 20. 100 表 项 。 

步骤 5 仔细 分 析 PDU 信息 ,学 习 掌握 ARP 协议 的 PDU 构成 。 注 意 观察 ARP 帧 的 
链 路 层 地址 、 操 作 码 , 报 文 内 容 ,比较 ARP 请 求 和 应 答 链 路 层 帧 和 PDU 内 容 的 差异 。 

步骤 6 对 路 由 器 ARP 处 理 的 过 程 进 行 观察 分 析 。 对 没有 ARP 表 项 的 通信 ,路 由 器 
会 先 丢 弃 报 文 。 

需要 说 明 的 是 ,ARP 协议 是 在 局 域 网 内 工作 的 ,本 实验 利用 路 由 器 连接 两 个 网 络 , 在 地 
址 掩 码 上 做 不 同 的 设置 ,以 说 明 默 认 网 关 的 作用 。 

(2) 用 Wireshark 1. 10 观察 ARP 协议 工作 过 程 。 

步骤 1 在 Windows 主机 上 运行 Wireshark, 选 择 本 地 网 卡 ,启动 抓 包 。 为 观察 方便 ， 
在 显示 过 滤器 栏 中 输入 “arp”, 以 便 只 察看 ARP 数据 。 

步骤 2 在 主机 运行 程序 访问 同一 网 络 中 的 节点 ,只 要 该 节点 为 第 一 次 访问 , 则 主机 都 
会 发 出 ARP 请 求 。 例 如 ,本 地 Windows 主机 (IP 地 址 为 192. 168. 1. 102) ,运行 cmd 命令 
打开 命令 行 窗 口 ,输入 下 列 命令 。 


C:\> ping 192.168.1.53 


则 立刻 可 以 在 Wireshark 中 捕获 到 ARP 帧 。 分 析 帧 结构 和 各 个 域 的 信息 。 
步骤 3 一 般 真实 主机 设 有 默认 网 关 , 和 默认 网 关 之 间 会 有 ARP 数据 交换 。 持 续 捕获 
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一 段 时 间 数 据 ,一 般 能 观察 到 主机 和 默认 网 关 之 间 的 ARP 请 求 和 应 答 。 另 外 ,也 可 以 通过 
修改 主机 的 IP 地 址 或 重启 网 卡 ( 禁 用 后 再 启用 ) 的 方法 ,来 观察 ARP 数据 。 


4. 实验 报告 

记录 自己 的 实验 过 程 和 实验 结果 ,分 析 ARP 协议 的 请 求 和 应 答 报 文 格式 ,理解 ARP 
协议 的 解析 过 程 。 

5. 思考 

在 设置 有 默认 网 关 的 主机 上 ,ARP 协议 的 处 理 过 程 有 什么 特点 ? 

实验 4-3 ARP 代理 

1. 实验 说 明 

在 模拟 实验 环境 中 ,观察 分 析 ARP 代理 现象 ,理解 ARP 代理 的 作用 和 工作 过 程 。 

2. 实验 环境 

Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 ) ,安装 有 Packet Tracer 6.0。 

3. 实验 步骤 


步骤 1 启动 PT, 打 开 实验 4-2 的 拓扑 (如 图 4-4 所 示 ) ,需要 注意 的 是 ,PC0 的 地 址 
172. 16. 10.100/16 的 子 网 掩 码 为 16 位 ,与 其 他 各 个 地 址 的 24 位 不 同 , 另 外 ,PCO 上 未 设置 
默认 网 关 地 址 。 

步骤 2 在 PCO 上 打开 命令 行 窗口 ,查看 ARP 表 , 执 行 以 下 命令 。 


PC> arp -a 


该 命令 确认 本 地 ARP 缓存 为 空 。 

步骤 3 切换 到 模拟 方式 ,然后 在 PC0 上 执行 以 下 命令 ,观察 设备 收发 数据 的 过 程 。 

PC> ping 172.16.10.99 

PC> ping 172.16.20.100 

步骤 4 在 PC0 上 执行 命令 “arp -a”, 查 看 ARP 表 , 观 察 各 个 表 项 的 特点 ,出 现 多 个 IP 
地 址 被 映射 到 一 个 MAC 地 址 ,就 是 代理 ARP 的 标志 。 

步骤 5 在 图 4-4 所 示 拓 扑 图 的 路 由 器 Router0 右 侧 (172. 16. 20. 0/24 网 段 ) 连 接 交换 
机 ,以 添加 更 多 的 主机 ,注意 要 和 PC1 在 同一 网 段 。 然 后 在 PC0 上 对 新 增 主机 进行 ping 连 
通 ,连通 后 再 查看 PCO 上 ARP 表 的 变化 。 

步骤 6 进一步 在 图 4-4 所 示 拓 扑 图 中 增加 路 由 器 ,连接 更 多 的 网 络 ,在 Packet Tracer 
中 以 模拟 方式 从 PC0 上 对 其 他 网 络 中 主机 运行 命令 ping ,进行 连通 测试 ,仔细 观察 连通 过 
程 的 ARP 解析 过 程 。 连 通 后 ,再 查看 PC0 上 ARP 表 的 变化 。 
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4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,理解 ARP 代理 的 实现 过 程 ,掌握 ARP 代理 的 工作 
特点 。 


5. 思考 


路 由 器 不 转发 广播 帧 ,而 是 接替 地 址 请 求 者 对 其 他 网 络 的 节点 发 送 ARP 请 求 ,分 析 跨 
网 络 通信 时 的 ARP 解析 过 程 , 进 一 步 理解 “Hop by Hop” 的 概念 。 


实验 4-4 免费 ARP 
1. 实验 说 明 


分 别 在 模拟 和 真实 环境 中 观察 分 析 免 费 ARP 帧 的 报 文 格式 ,理解 免费 ARP 协议 的 工 
作 特 点 。 


2. 实验 环境 


Windows 操作 系统 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 ) ,安装 有 Packet Tracer 
6.0, Wireshark 1. 10。 


3. 实验 步骤 


(1) 在 Packet Tracer 6. 0 中 观察 免费 ARP。 
步骤 1 启动 Packet Tracer, 建 立 如 图 4-5 所 示 的 实验 拓扑 并 设置 好 IP 地 址 。 图 4-5 
中 的 MAC 地 址 以 实验 时 软件 实际 设置 为 准 。 
172.16.10.77/24 mac:0030.F283.6802 





2950-24 


Switch0 Server-PT 
PC-PT Server0 
PC0 
172.16.10.66/24 mac:0030.F283.6333 172.16.10.99/24 mac:0001.96AB.93C9 


图 4-5 免费 ARP 实 验 


步骤 2 先 在 PC0 和 PCl 上 运行 ping 程序 ,连通 Server0, 这 将 在 实验 中 各 个 机 器 上 建 
立 起 ARP 表 。 查 看 各 个 机 器 上 的 ARP 表 并 记录 。 

步骤 3 切换 到 模拟 方式 ,然后 在 PCO 上 打开 Desktop 选项 卡 , 双击 选中 IP 
Configuration ,这 时 修改 网 卡 的 IP 地 址 ,如 修改 为 172. 16. 10. 88, 掩 码 和 默认 网 关 不 需 
改动 。 

步骤 4 切换 到 PT 模拟 窗口 . 单 击 Capture/Forward 按钮 ,立刻 就 可 观察 到 PCO 发 出 
了 ARP 包 ,仔细 查看 PDU 信息 和 处 理 说 明 。 此 处 会 看 到 PC0 发 出 的 ARP 报 文中 发 送 端 
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的 IP 地 址 和 目的 端的 IP 地 址 是 一 样 的 ,这 就 是 gratuitous ARP Request。 继 续 在 Server0 
上 观察 ,可 以 看 到 服务 器 ARP 处 理 时 ,丢弃 了 这 个 帧 而 没有 回应 。 查 看 PDU 处 理 说 明 ,应 
该 看 到 是 因为 服务 器 上 ARP 表 中 没有 相应 的 IP 地 址 ,因而 丢弃 了 这 个 帧 。 这 是 协议 默认 
对 免费 ARP 的 处 理 方式 。 

(2) 免费 ARP 带 来 的 漏洞 。 

一 般 局 域 网 内 都 没有 安全 的 认证 系统 ,所 以 任何 主机 都 可 以 发 送 这 样 的 免费 ARP 广 
播 ,这 可 能 引起 MAC 地 址 欺骗 。 以 下 实验 中 , PC0 试图 发 送 免费 ARP, 以 更 改 服务 器 
Server0 上 ARP 表 项 中 PC1 的 信息 ,从 而 欺骗 服务 器 ,以 截获 Server0 和 PC1 之 间 的 通信 。 

步骤 1 接续 (1) 中 的 实验 ,首先 在 Server0 上 运行 arp 命令 ,确认 其 ARP 表 的 内 容 包 
含有 PC0 和 PC1 两 台 机 器 的 ARP 表 项 内 容 。 

步骤 2 切换 到 模拟 方式 ,然后 在 PCO 上 打开 Desktop 选项 卡 , 双 击 选择 其 中 的 IP 
Configuration ,修改 IP 地 址 为 172. 16. 10.77(PC1 的 IP 地 址 ) ,马上 切换 到 模拟 窗口 , 单 击 
Capture/Forward 按钮 ,观察 PC0 向 局 域 网 内 发 送 的 免费 ARP 广播 ,其 源 IP 地 址 为 PC1 
的 地 址 , 源 MAC 地 址 为 PCO 自己 的 MAC 地 址 。 

步骤 3 在 Server0 收 到 数据 帧 后 ,查看 PDU Information ,观察 协议 的 处 理 过 程 。 然 
后 在 Server0 上 查看 ARP 表 是 否 将 自己 ARP 缓存 中 PC1 的 MAC 地 址 改 为 PC0 的 MAC 
地 址 ,如 果 是 ,就 形成 了 MAC 地 址 欺骗 ,记录 实验 结果 。 

注意 : 通常 在 真实 网 络 欺骗 中 ,PCO 为 确保 对 服务 器 ARP 缓存 的 修改 ,会 通过 其 他 手 
段 先 将 PC1 的 网 络 竣 疾 。 这 是 至 今 都 很 流行 的 攻击 手段 之 一 。 针 对 该 攻击 ,没有 很 好 的 防 
范 手段 ,当前 使 用 的 方法 有 : 设置 MAC 地 址 和 IP 地址 绑 定 ; 将 交换 机 上 某 些 端口 设置 为 
信任 端口 ,来 自 这 些 端口 的 请 求 认为 是 可 靠 的 ,因此 予以 转发 ,而 其 他 的 则 不 转发 。 

步骤 4 当 PC0 发 出 的 免费 ARP 到 达 PC1 时 ,PC1 会 发 出 对 免费 ARP 的 响应 报 文 ， 
其 目标 地 址 为 0. 0. 0.0, 以 通知 全 部 网 络 节点 IP 地 址 172. 16. 10. 77 已 被 使 用 。 注 意 观 察 
帧 的 IP 地 址 和 MAC 地址 。 

步骤 5 模拟 方式 下 在 Server 上 运行 以 下 命令 。 


SERVER > ping 172.16.10.77 


观察 数据 走向 和 帧 的 结构 ,注意 观察 帧 的 IP 地 址 和 MAC 地 址 。 

注意 : PC0 没有 回应 Server0 ,请 给 出 合理 的 解释 。 

(3) 用 Wireshark 1. 10 观察 免费 ARP。 

步骤 1 要 在 真实 网 络 环境 中 观察 到 免费 ARP, 需 要 有 局 域 网 环境 ,也 可 以 参考 
图 4. 3 ,建立 网 络 拓扑 。 

步骤 2 在 Windows 主机 上 运行 Wireshark ,选择 本 地 网 卡 后 启动 抓 包 。 为 观察 方便 ， 
在 显示 过 滤器 栏 输入 “arp”, 以 便 只 察看 ARP 数据 。 

步骤 3 启 停 网 络 中 的 主机 或 其 他 网 络 设备 (如 网 卡 ) ,观察 在 Wireshark 中 捕获 的 数 
据 包 中 的 免费 ARP, 分 析 其 报 文 结构 和 内 容 。 


4. 实验 报告 
记录 自己 的 实验 过 程 和 实验 结果 ,理解 免费 ARP 的 实现 过 程 ,掌握 免费 ARP 的 工作 
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特点 。 
5. 思考 
各 实验 主机 对 收 到 的 免费 ARP 都 采取 了 哪些 处 理 , 为 什么 ? 
6. 延伸 学 习 


ARP 病毒 曾经 一 度 是 局 域 网 中 危害 网 络 的 一 种 主要 病毒 ,其 特点 是 持续 不 断 的 发 出 伪 
造 的 ARP 响应 包 , 以 更 改 目 标 主机 ARP 缓存 中 的 IP-MAC 表 项 ,造成 网 络 中 断 或 中 间 人 
攻击 。 
利用 本 章 学 习 的 知识 ,可 以 采用 以 下 方法 , 找 出 ARP 病毒 源 。 

(1) 使 用 抓 包工 具 。 在 网 络 内 任意 一 台 主 机 上 运行 抓 包 软件 ,捕获 所 有 到 达 本 机 的 数 
据 包 。 如 果 发 现 有 某 个 IP 不 断 发 送 ARP 请 求 包 , 那 么 这 台电 脑 一 般 就 是 病毒 源 。 因 为 各 
种 ARP 病毒 发 作 的 最 终 的 结果 是 ,在 网 关 以 及 网 内 所 有 主机 的 ARP 缓存 表 中 ,网 内 所 有 
活动 主机 的 MAC 地 址 均 为 中 毒 主机 的 MAC 地 址 。 

(2) 使 用 “arp -a” 命 令 , 任 意 选 两 台 不 能 上 网 的 主机 ,查看 其 ARP 表 内 容 。 如 在 结果 
中 ,两 台电 脑 除了 网 关 的 IP-MAC 地 址 对 应 项 ,还 同样 都 包含 了 非 网 关 的 另 一 个 IP, 如 192. 
168.0.186, 则 可 以 断定 192. 168. 0. 186 这 台 主 机 就 是 病毒 源 。 这 是 因为 一 般 情 况 下 ,网 内 
的 主机 只 和 网 关 通 信 。 正 常情 况 下 ,一 台 主 机 的 ARP 缓存 中 应 该 只 有 网 关 的 MAC 地 址 。 
如 果 有 其 他 主机 的 MAC 地 址 ,说 明 本 地 主机 和 这 台 主 机 最 后 有 过 数据 通信 发 生 。 如 果 某 
全 主机 (如 上 面 的 192. 168. 0.186) 既 不 是 网 关 也 不 是 服务 器 ,但 和 网 内 的 其 他 主机 都 有 通 
信 活 动 , 且 此 时 又 是 ARP 病毒 发 作 期 ,那么 ,病毒 源 也 就 是 它 了 。 

(3) 在 ARP 病毒 感染 期 间 , 在 任意 一 台 受 影响 的 主机 上 ,运行 tracert 命令 ,跟踪 一 个 
外 网 地 址 ,如 果 第 一 跳 不 是 设置 的 默认 网 关 地 址 ,而 是 和 主机 同 网 段 的 一 个 内 网 地 址 , 那 这 
个 地 址 就 是 病毒 源 。 这 是 因为 中 毒 主机 在 受 影响 主机 和 网 关 之 间 ,扮演 了 “中 间 人 ”的 角色 。 
所 有 本 应 该 到 达 网 关 的 数据 包 , 由 于 错误 的 MAC 地 址 , 均 被 发 到 了 中 毒 主机 。 

对 ARP 病毒 的 清除 ,除了 可 以 使 用 杀毒 软件 外 ,还 可 以 通过 对 每 台 主 机 进行 IP 和 
MAC 地 址 静态 绑 定 来 防止 病毒 对 ARP 表 的 修改 。 参 考 实验 4-1 中 “arp -s” 命 令 的 使 用 
方法 。 
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IP 负责 把 数据 从 一 个 网 络 传送 到 另 一 个 网 络 ,而 IP 协议 自身 没有 差错 控制 机 制 ,如 果 
在 传递 中 出 现 因 某 种 原因 不 能 发 送 的 IP 数据 ,ICMP 将 被 用 来 传递 差错 报 文 及 其 他 需要 注 
意 的 信息 。 作 为 一 个 重要 的 错误 处 理 和 信息 处 理 协 议 ,ICMP 是 TCP/IP 协议 族 中 不 可 或 
缺 的 一 部 分 。 本 章 讨论 ICMP 报 文 的 类 型 结构 及 各 种 ICMP 报 文 的 应 用 ,分 析 ICMP 回 显 
请 求 与 应 答 ICMP 重 定向 差错 报 文 格式 和 工作 过 程 ,介绍 ping 程序 和 traceroute 程序 的 用 
法 和 工作 过 程 .IP 记录 路 由 选项 ,时间 戳 选 项 和 源 站 选 路 选项 等 有 关内 容 。 


6 ICMP 的 作用 


作为 网 络 层 重 要 的 协议 ,ICMP 可 以 提供 有 关 网 络 可 连接 性 的 信息 ,获得 基于 数据 报 或 
无 连接 协议 不 能 传输 的 路 由 行为 的 信息 。 

如 果 要 诊断 和 修复 TCP/IP 连接 性 问题 ,就 必须 知道 从 什么 地 方 得 到 IP 互联 网 上 数据 
包 如 何 从 源 位 置 传输 到 目的 位 置 的 信息 。 通 常 网 络 的 可 达 性 表述 为 : 对 于 任何 与 男 一 个 网 
络 节点 进行 通信 和 交互 数据 的 网 络 节点 来 说 ,一 定 存 在 从 发 送 方 到 接收 方 转发 数据 的 某 种 
方法 。 正 常情 况 下 ,可 用 转发 路 径 可 在 位 于 发 送 方 和 接收 方 之 间 各 种 中 间 设 备 的 本 地 IP 路 
由 表 的 内 容 中 发 现 。 

由 于 IP 自身 是 不 可 靠 传送 ,不 能 提供 可 达 性 ,交互 错误 .路 由 错误 报告 以 及 控制 信息 。 
因此 ,由 ICMP 提供 一 种 将 信息 返回 给 发 送 方 的 方法 。 通 过 采用 特殊 的 ICMP 消息 格式 , 信 
息 为 数据 包 在 转发 过 程 中 经 历 的 路 由 器 信息 (包括 可 达 性 信息 ), 并 提供 了 一 种 当 路 由 或 可 
达 性 问题 阻止 交付 IP 数据 包 时 返回 出 错 信息 的 方法 ,这 种 能 力 很 好 地 补充 了 IP 的 数据 包 
交付 服务 。 

需要 指出 的 是 ,ICMP 虽然 也 是 网 络 层 的 协议 ,但 却 封装 在 IP 报 文中 。 从 这 个 意义 上 
看 ,ICMP 消息 不 过 是 特殊 格式 的 IP 数据 报 ,与 一 般 网 络 流量 中 其 他 IP 数据 报 受到 相同 的 
限制 。 另 外 ,ICMP 报告 错误 ,阻塞 以 及 其 他 网 络 状况 的 能 力 对 于 增强 IP 的 尽 最 大 努力 交 
付 方法 本 身 并 没有 任何 直接 的 好 处 。 因 此 ,即使 ICMP 能 够 报告 错误 或 网 络 阻塞 ,如 果 要 借 
助 它 来 改变 网 络 的 通信 状况 , 则 依赖 于 接收 消息 的 主机 操作 这 些 消息 内 容 的 方式 。 

典型 的 情况 是 ICMP 重 定向 消息 的 处 理 。 当 网 关 和 路 由 器 转发 数据 报时 发 现 有 更 好 的 
路 径 去 往 目的 主机 , 则 把 一 条 ICMP 消息 提供 给 发 送 方 ,把 主机 引导 到 一 条 更 好 的 网 络 路 由 
上 , 即 发 送 一 条 重 定向 消息 。 主 机 对 这 条 ICMP 消息 的 处 理 则 各 有 不 同 ,一 般 默认 是 使 用 网 
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络 上 的 最 佳 路 径 传送 数据 ,但 也 可 以 丢弃 这 条 消息 而 不 使 用 新 的 路 由 。 

RFC 792 提供 了 有 关 ICMP 协议 的 基础 规范 ,并 定义 了 各 种 ICMP 信息 和 服务 的 类 型 。 
在 这 个 标准 中 ,明确 了 ICMP 是 IP 基础 支持 的 一 部 分 ,为 网 关 或 目的 主机 提供 了 一 种 与 源 
主机 通信 的 机 制 ; 规定 采用 特殊 格式 的 IP 数据 报 , 使 用 特殊 的 关联 消息 类 型 和 代码 ,同时 
为 了 防止 出 现 错误 消息 的 循环 ,ICMP 不 传送 有 关 自 身 的 任何 消息 ,并 且 仅 提供 任何 分 片 数 
据 包 序列 中 的 第 一 个 分 片 的 消息 。 


G3 ICMP 报 文 及 类 型 


5.2.1 ICMP 报 文 格式 


ICMP 报 文 是 封装 在 IP 数据 报 内 作为 IP 报 文 的 数据 被 传输 的 ,如 图 5-1 所 示 。 但 
ICMP 并 非 更 高 层 的 协议 , 仍 被 认为 是 网 络 层 的 一 个 组 成 部 分 。 
ICMP 报 文 的 种 类 很 多 ,而 且 各 自 又 有 自己 不 同 的 代码 和 处 理 信息 内 容 , 因 此 ,ICMP 















































并 没有 一 个 统一 的 报 文 格式 以 供 全 部 ICMP 报 文 来 使 用 。ICMP 报 文 结 构 如 图 5-2 所 示 。 
0 78 15 16 31 
ICMP 报 文 8 位 类 型 | 8 位 代码 16 位 校 验 和 
IP 首 部 。 | ICMP 首 部 ICMP 信 息 本 序列 号 
医 lp 数据 报 了 不 同类 型 和 代码 有 不 同 内 容 (格式 和 长 度 ) 
5-1 ICMP 报 文 的 IP 封装 5-2 ICMP 报 文 格式 


尽管 不 同 的 ICMP 报 文 类 别 分 别 有 不 同 的 报 文字 段 ,但 ICMP 报 文 在 首部 内 容 上 还 是 
一 致 的 , 即 在 前 4 个 字 节 有 统一 的 格式 ,共有 类 型 .代码 和 校 验 和 3 个 字段 。 接 着 的 4 个 字 
节 的 内 容 与 ICMP 报 文 的 类 型 有 关 ( 图 5-2 中 的 标识 和 序列 号 是 最 常见 的 内 容 )。 

不 同类 别 的 ICMP 报 文 由 类 型 和 代码 字段 共同 来 区 分 ,代码 是 为 了 进一步 区 分 某 种 类 
型 的 不 同情 况 。 

检验 和 字段 覆盖 整个 ICMP 报 文 。 使 用 的 算法 与 IP 首部 检验 和 算法 相同 ,采用 二 进 制 
反 码 求 和 的 方式 来 得 到 校 验 和 。ICMP 的 检验 和 是 必需 的 。 

在 报 文 首部 后 面 的 是 数据 字段 ,其 长 度 取决 于 ICMP 报 文 的 类 型 。 


5.2.2 ICMP 报 文 类 型 


ICMP 将 在 网 络 里 传送 数据 过 程 中 需要 报告 给 数据 发 送 者 的 错误 用 一 个 预定 义 好 的 消 
息 集合 来 表示 ,每 一 种 消息 都 提供 专用 的 功能 ,并 用 ICMP 类 型 和 代码 来 表示 。 对 网 络 控制 
或 探测 的 其 他 功能 ,ICMP 也 提供 了 相应 的 类 型 和 代码 来 处 理 。 

ICMP 报 文 虽然 细 分 为 很 多 类 ,但 总 的 来 看 ,可 以 分 为 如 表 5-1 所 示 的 两 大 类 : 差错 报 
告 和 查询 报 文 ,也 常 有 把 差错 报告 进一步 分 为 差错 报告 和 控制 报 文 的 。 报 文 的 不 同 功 能 由 
报 文中 的 类 型 字段 和 代码 字段 共同 决定 。 

ICMP 所 有 报 文 类 型 字段 可 以 有 15 个 不 同 的 值 ,用 以 描述 特定 类 型 的 ICMP 报 文 。 其 
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中 类 型 15 和 16 已 废弃 不 用 。 大 多 数 ICMP 报 文 还 使 用 代码 字段 的 值 来 进一步 描述 不 同 的 



































条 件 。 
表 5-1 ICMP 报 文 的 分 类 
ICMP 报 文 种 类 类 型 描述 
3 目的 不 可 达 
4 源 站 抑制 
差错 报告 报 文 5 路 由 重 定向 
11 时 间 超 时 
12 参数 问题 
8 或 0 回 显 请 求 或 应 答 
10 或 9 路 由 器 询问 或 通告 
栓 询 报 广 13 或 14 时 间 截 请 求 或 应 答 
17 或 18 地 址 掩 码 请 求 或 应 答 


根据 不 同 的 ICMP 报 文 类 型 和 代码 ,ICMP 报 文 的 其 他 部 分 也 有 不 同 的 内 容 , 本 章 将 分 
别 对 各 类 主要 报 文 及 其 用 途 做 详细 介绍 。 


5.2.3 ICMP 差错 报告 


1. ICMP 差错 报告 的 特点 


ICMP 差错 报告 具有 以 下 特点 。 

。 只 报告 差错 ,但 不 负责 纠正 错误 , 纠 错 工作 留 给 高 层 协 议 去 处 理 。 

。 发 现 出 错 的 设备 只 向 信 源 报告 差错 。 

。 差错 报告 作为 一 般 数 据 传 输 ,不 享受 特别 优先 权 和 可 靠 性 。 

。 产生 ICMP 差错 报告 的 同时 .会 丢弃 出 错 的 IP 数据 报 。 

需要 注意 的 是 ,下 列 情况 下 将 不 会 产生 ICMP 差错 报 文 。 

。 在 对 ICMP 差错 报 文 进行 响应 时 ,永远 不 会 生成 男 一 份 ICMP 差错 报 文 。 但 ICMP 

查询 报 文 可 以 产生 ICMP 差错 。 

。 广播 或 多 播 的 IP 数据 报 。 

。 作为 链 路 层 广播 的 数据 报 。 

。 不 是 IP 分 片 的 第 一 片 。 

。 源 地 址 是 零 . 环 回 地 址 ,广播 或 多 播 地 址 。 

当 发 送 一 份 ICMP 差错 报 文 时 , 报 文 始终 包含 产生 ICMP 差错 的 IP 报 文 的 首部 和 IP 
报 文中 数据 的 前 8 个 字 节 。 这 样 ,接收 ICMP 差错 报 文 的 模块 就 会 把 它 与 某 个 特定 的 协议 
(根据 IP 数据 报 首部 中 的 协议 字段 来 判断 ) 和 用 户 进程 (根据 包含 在 IP 数据 报 前 8 个 字 节 
中 的 TCP 或 UDP 报 文 首部 中 的 TCP 或 UDP 端口 号 来 判断 ) 联 系 起 来 ,进而 可 以 进行 针对 
性 的 处 理 。 

ICMP 差错 报 文 主要 有 目的 不 可 达 、 时 间 超 时 和 参数 问题 , 源 站 抑制 和 路 由 重 定向 是 具 
有 控制 作用 的 差错 报 文 。 
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2. ICMP 目的 不 可 达 


目的 不 可 达 差 错 报 文 主要 用 于 当 路 由 和 传输 错误 阻止 IP 数据 报 抵达 其 目的 地 时 计 和 人 
文档 。 网 关 在 寻找 路 由 和 转发 数据 报 的 时 候 , 可 能 因为 各 种 原因 不 能 够 转发 成 功 ,比如 目的 
机 不 在 运行 中 (关机 或 故障 ) 、 目 的 地 址 不 存在 或 者 网 络 没 有 去 往 目 的 地 的 路 由 ,这 时 网 关 都 
会 产生 目的 不 可 达 的 ICMP 差错 ,返回 给 源 主机 。 

如 图 5-3 所 示 是 类 型 3 目的 不 可 达 的 差错 报 文 格式 。 

0 78 15 16 31 
类 型 | 代码 0-15 | 16 位 校 验 和 
未 使 用 (全 0) 














出 错 IP 数 据 报 首部 + 前 8 个 字 节 数据 








5-3 ICMP 目的 不 可 达 报 文 格式 


目的 不 可 达 , 需 要 区 分 的 情况 比较 多 ,这 时 代码 值 就 十 分 重要 。 对 应 的 代码 及 含义 如 
表 5-2 所 示 ,处理 方法 请 参阅 参考 文献 或 有 关 教 材 。 


表 5-2 ICMP 类 型 3 代码 描述 











代码 描 述 代码 描 述 
0 网 络 不 可 达 8 源 主机 被 隔离 
1 主机 不 可 达 9 目的 网 络 被 强制 禁止 
2 协议 不 可 达 10 目的 主机 被 强制 禁止 
3 端口 不 可 达 11 因 服 务 类 型 TOS 网 络 不 可 达 
4 需要 分 片 但 设置 了 不 分 片 12 因 服 务 类 型 TOS 主机 不 可 达 
5 源 站 选 路 失败 13 因 过 滤 通 信 被 强制 禁止 
6 目的 网 络 不 认识 14 主机 越权 
7 目的 主机 不 认识 15 优先 权 终止 生效 


从 表 5-2 可 以 看 出 ,所 谓 目标 有 4 个 层次 的 概念 ,从 大 到 小 依次 为 网 络 、 主 机 、 协 议和 端 
口 , 各 层次 存在 相应 的 依赖 关系 。 例 如 ,全 局 性 的 协议 地 址 包括 网 络 地 址 、 主 机 地 址 和 协议 
地 址 ,全 局 性 的 主机 地 址 则 包含 网 络 地 址 和 主机 地 址 ,否则 不 能 在 Internet 上 使 用 ,发 往 某 
个 协议 地 址 则 可 能 引发 网 络 不 可 达 、 主 机 不 可 达 或 协议 不 可 达 错 误 。 

由 于 寻找 路 由 是 基于 网 络 地 址 的 ,所 以 网 络 不 可 达 说 明 存 在 寻找 路 由 故障 。 

如 果 出 现 主机 不 可 达 错 误 , 则 必然 不 会 发 生 网 络 不 可 到 达 的 故障 ,而 且说 明 寻 找 路 由 是 
正常 的 ,因此 主机 不 可 到 达 的 问题 是 传输 过 程 中 的 问题 。 例 如 ,目的 主机 不 在 运行 中 或 者 目 
的 主机 不 存在 ,这 些 问题 是 路 由 中 的 最 后 一 个 网 关 , 既 目的 主机 所 在 网 络 上 的 网 关 , 通 过 网 
络 硬件 提供 的 应 答 机 制 发 现 的 。 

协议 和 端口 不 可 达 , 这 两 种 报 文 涉及 更 高 级 的 协议 ,由 目的 主机 本 身 所 产生 。 实 际 上 是 
IP 报 文 虽然 到 达 目 的 主机 ,但 是 没有 办 法 被 高 层 应 用 软件 接收 。 由 于 高 层 软件 往往 采用 多 
重 协议 ,而 同一 协议 则 可 能 通过 不 同 协议 端口 同时 处 理 多 个 访问 ,因此 IP 数据 报 的 信 宿 可 
能 深入 到 协议 和 端口 的 深层 结构 。 协 议 号 和 端口 号 如 同 网 络 地 址 和 主机 地 址 一 样 也 作为 数 
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据 报 目的 地 址 的 一 部 分 ,因此 协议 和 端口 不 可 到 达 在 概念 上 也 如 同 网 络 和 主机 不 可 达 一 样 。 

源 主机 可 以 从 返回 的 ICMP 差错 报 文中 出 错 数据 报 的 报头 发 现 通信 双方 的 有 关 信息 ， 
如 目的 主机 的 确切 地 址 和 协议 类 型 等 信息 ,从 IP 数据 的 前 8 个 字 节 里 获得 上 层 协议 的 端口 
地 址 等 内 容 。 


3. 时 间 超 时 


在 Internet 网 络 中 ,为 了 防止 出 现 路 由 循环 ,TCP/IP 采取 了 两 个 措施 ,一 个 是 每 个 IP 
数据 报 的 报头 设置 TTL(Time To Live, 生 存 时 间 ) 域 ,第 二 是 对 分 片 数据 报 采用 定时 器 计 
数 。 其 核心 思想 就 是 通过 定时 来 限制 数据 包 在 网 络 中 的 逗留 时 间 , 以 防 出 现 不 可 忍受 的 传 
输 延 迟 , 从 而 提高 网 络 的 传输 率 。 在 上 述 措施 中 ,一 旦 报 文 的 定时 时 间 到 ,网 关 或 信 宿 机 都 
要 立即 抛弃 本 数据 报 并 向 信 源 机 发 送 ICMP 时 间 超 时 报告 ,网 络 上 所 有 的 路 由 器 都 不 会 转 
发 超时 的 报 文 。 

由 此 可 见 ,时间 超 时 差错 报 文 用 于 指示 IP 数据 包 的 TTL 或 分 片 卫 数 据 报 的 重组 定 
时 器 超时 ,其 类 型 为 11, 代 码 取 值 为 0 或 1, 其 中 0 代表 TTL 超时 错误 ,1 代表 分 片 重组 
超时 。 

在 路 径 探测 中 ,超时 报 文 也 具有 特别 的 重要 作用 ,内 容 在 后 面 介绍 。 


4. 参数 问题 


参数 问题 主要 是 用 于 指示 在 人 站 数据 包 的 IP 首部 的 数据 或 者 IP 选项 的 数据 发 生 了 某 
些 问题 ,网 关 或 主机 不 得 不 抛弃 数据 报时 ,将 会 向 源 主机 发 送 参 数 错误 的 ICMP 报 文 。 

不 过 ICMP 参数 问题 差错 报 文 的 功能 很 弱 , 仅 能 够 指出 报 文 首部 中 引起 故障 的 字 节 ,对 
一 些 模糊 的 问题 进行 表述 ,一般 都 还 需要 进一步 的 处 理 。 


5.2.4 ICMP 控制 报 文 


ICMP 差错 报告 中 具有 控制 功能 的 报 文 包括 源 抑制 报 文 和 重 定向 报 文 ,其 中 源 站 抑制 
报 文 用 于 拥塞 控制 ,路 由 重 定向 报 文 则 用 于 路 径 控制 。 


1. 源 站 抑制 


也 叫 源 抑制 ,是 指 通过 向 相应 的 信 源 发 送 ICMP 源 抑制 报 文 , 信 源 根据 收 到 的 源 抑 制 报 
文中 所 带 的 先前 发 出 的 IP 数据 报 的 首部 信息 ,决定 对 去 往 某 一 特定 信 宿 的 信息 流 进行 抑 
制 ,通常 是 减缓 信 源 发 出 数据 报 的 速率 ,以 实现 拥塞 控制 。 

在 网 络 通信 过 程 中 , 当 大 量 的 数据 报 进 入 路 由 器 或 信 宿 时 ,会 造成 缓冲 区 溢出 , 即 出 现 
拥塞 。 引 起 网 络 拥塞 的 原因 ,可 能 是 网 关 的 处 理 速度 太 慢 ,不 能 完成 对 大 量 用 户 数据 包 的 处 
理 ,或 者 是 网 关 输 入 数据 的 速率 大 于 输出 线路 的 容量 ,许多 数据 同时 通过 同一 网 关 转 发 就 可 
能 导致 拥塞 。 从 本 质 上 讲 ,拥塞 的 原因 都 在 于 没有 足够 的 数据 缓冲 区 ,只 要 有 足够 的 数据 组 
冲 区 ,网 关 或 主机 往往 总 能 将 数据 存 人 队列 等 待 处 理 。 

拥塞 控制 的 方法 很 多 ,TCP/IP 采用 源 抑制 技术 , 即 抑 制 信 源 发 出 数据 包 的 速率 。 通 
常 ,网 关 周期 性 的 测试 每 条 输出 线路 ,一 旦 发 现 某 条 输出 线路 发 生 拥塞 ,立即 向 相应 的 信 源 
机 发 送 ICMP 源 抑 制 报 文 , 根 据 网 关 输 出 队列 的 情况 会 有 不 同 的 发 送 方 式 。 信 源 机 收 到 源 
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抑制 报 文 后 , 按 一 定 的 速率 降低 发 往 某 信 宿 的 数据 报 速率 。 拥 塞 解除 后 , 信 源 机 要 恢复 数据 
报 传输 速率 。 数 据 传输 恢复 的 过 程 ,与 ICMP 无 关 , 完 全 由 主机 自行 解决 。 
源 抑制 报 文 类 型 为 4, 码 值 只 有 一 个 为 0。 


2. 路 由 重 定向 


路 由 重 定向 差错 是 指 通过 路 由 器 发 送 重 定向 报 文 , 网 络 上 主机 中 的 路 由 表 也 可 以 得 到 
更 新 。 

网 络 上 的 路 由 器 和 主机 中 都 存 有 一 个 路 由 表 , 路 由 表决 定 了 去 往 目 的 地 的 下 一 跳 路 由 
器 的 地 址 。 路 由 器 上 的 路 由 表 通 过 不 同 的 路 由 协议 在 路 由 器 之 间 定 期 交换 路 由 信息 (参见 
第 6 章 ) ,以 保证 其 能 及 时 地 反映 网 络 结构 的 变化 。 

主机 路 由 表 所 给 出 的 下 一 跳 路 由 器 可 能 并 非 是 去 往 信 宿 的 最 佳 下 一 跳 路 由 器 。 当 主机 
的 下 一 跳 路 由 器 收 到 数据 报 后 ,该 路 由 器 根据 它 的 路 由 表 判 断 本 路 由 器 是 否 是 去 往 信 宿 的 
最 佳 选择 ,如果 不 是 ,该 路 由 器 仍然 会 向 信 宿 网 络 转发 该 数据 报 ,但 在 转发 的 同时 会 产生 一 
个 ICMP 重 定向 报 文 ,通知 信 源 主机 修改 它 的 路 由 表 , 重 定向 报 文中 将 给 出 信 源 最 佳 下 一 跳 
路 由 器 的 IP 地 址 。 重 定向 报 文 格式 如 图 5-4 所 示 。 

重 定向 是 路 由 器 向 主机 发 送 的 .请 求 主机 改变 路 由 的 ICMP 差错 报 文 ,主机 操作 系统 决 
定 了 对 重 定向 报 文 的 处 理 。Windows 和 许多 UNIX 系统 都 支持 ICMP 重 定向 , 即 对 于 网 关 
返回 的 ICMP 重 定向 报 文 ,系统 会 在 主机 的 路 由 表 中 修改 或 添加 一 项 主机 路 由 。 

对 路 由 器 而 言 , 收 到 ICMP 重 定向 报 文 的 一 般 处 理 是 丢弃 。 但 在 关闭 IP 路 由 的 情况 
下 , 某 些 类 型 的 路 由 器 ,如 Cisco 路 由 器 ,会 接收 ICMP 重 定向 报 文 并 修改 自己 的 路 由 表 , 即 
在 IP 路 由 关闭 的 情况 下 ,路 由 器 会 作为 主机 操作 。 若 这 个 漏洞 被 攻击 者 利用 来 发 送 伪造 的 
ICMP 报 文 ,可 能 导致 IOS 路 由 表 被 修改 ,从 而 破坏 或 截获 通信 。 
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类 us | 代码 03 | 16 位 校 验 和 
目的 路 由 器 的 IP 地 址 














引起 重 定向 的 IP 报 文 首部 及 数据 部 分 的 前 8 个 字 节 











5-4 ICMP 重 定向 报 文 格式 


如 图 5-4 所 了 示 ,ICMP 重 定向 报 文 类 型 为 5, 代 码 有 4 个 可 选 值 , 即 0 一 3, 其 中 0 和 2 与 
网 络 重 定向 有 关 ,1 表示 主机 重 定向 ,3 表示 对 服务 类 型 和 主机 重 定向 。 报 文中 目标 路 由 器 
的 IP 地 址 即 给 出 了 去 往 信 宿 的 最 佳 下 一 跳 路 由 器 的 IP 地 址 。 

特别 要 注意 的 是 ,原则 上 重 定向 报 文 是 由 路 由 器 产生 而 供 主机 使 用 的 。 


5.2.5 ICMP 查询 报 文 


ICMP 查询 报 文 的 出 现 使 得 互联 网 上 的 任何 主机 或 路 由 器 可 以 向 其 他 主机 或 路 由 器 发 
送 请 求 并 获得 应 答 。 
通过 ICMP 查询 报 文 使 得 网 络 管理 员 、 用 户 或 应 用 程序 可 以 对 网 络 进 行 检测 ,了 解 设备 
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的 可 达 性 ,地 址 掩 码 的 设置 .时 钟 的 同步 等 情况 ,利用 这 些 有 用 的 信息 对 网 络 进行 故障 诊断 
和 控制 。 


1. 回 显 请 求 与 回 显 应 答 


回 显 请 求 报 文 用 于 向 特定 的 信和 宿 机 发 送 一 个 回 显 请 求 ,其 中 包含 一 个 任 选 的 数据 区 。 
信 宿 收 到 回 显 请 求 报 文 即 发 回 相 应 的 回 显 应 答 ,其 中 包含 一 个 请 求 中 数据 区 的 拷贝 。 
假如 回 显 请 求 发 出 后 ,成功 地 收 到 一 个 回 显 应 答 ,同时 应 答 中 的 数据 拷贝 与 请 求 中 的 数 
据 完全 一 致 , 则 不 但 说 明 信 宿 机 可 以 到 达 , 而 且说 明 数 据 报 传输 系统 的 相当 部 分 工作 是 正常 
的 ,至 少 , 信 源 机 和 信 宿 机 的 IP 协议 软件 和 ICMP 协议 软件 是 工作 正常 的 ,请 求 与 应 答 经 过 
的 中 间 网 关 也 能 正常 寻找 路 由 。 
由 此 可 见 ,ICMP 回 显 请 求 和 应 答 不 仅 可 以 被 用 来 测试 主机 或 路 由 器 的 可 达 性 ,还 可 以 
测试 IP 协议 的 工作 情况 。 这 对 于 在 网 络 工程 实践 中 判定 网 络 状况 有 着 直接 的 帮助 。 
ICMP 回 显 请 求 与 应 答 报 文 的 格式 如 图 5-5 所 示 。 
类 型 8" 表明 是 回 显 请 求 报 文 , 代 码 只 有 一 个 ,为 0。 类 型 “0 表明 是 回 显 应 答 报 文 , 代 
码 也 是 只 有 一 个 ,为 0。 数 据 部 分 则 由 于 协议 的 不 同 实现 ,其 内 容 和 长 度 会 有 所 不 同 。 
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类 型 8 或 0 | ”代码 。 | ”16 位 校 验 和 
标识 | 序列 号 











发 送 方 指定 的 数据 (接收 方 原样 发 回 ) 








图 5-5 ICMP 回 显 请 求 与 应 答 报 文 


协议 未 对 标识 符 和 序列 号 字段 进行 正式 定义 ,通常 将 标识 符 和 序列 号 用 于 匹配 请 求 与 
应 答 ,标识 符 一 般 为 发 起 请 求 进 程 的 进程 ID, 回 应 请 求 与 应 答 报 文 的 标识 符 和 序列 号 要 
一 致 。 

最 典型 和 常用 的 ping 命令 的 功能 就 是 利用 ICMP 回 显 请 求 与 应 答 报 文 来 实现 的 。 

2. 路 由 器 询问 或 通告 

路 由 器 询问 或 通告 是 利用 ICMP 来 实现 路 由 器 初始 化 路 由 表 的 一 种 方法 。 

一 般 认 为 ,主机 在 引导 以 后 ,要 广播 或 多 播 传送 一 份 路 由 器 询问 报告 ,也 叫 路 由 器 请 求 
报 文 。 路 由 器 请 求 报 文 的 格式 如 图 5-6 所 示 , 报 文中 没有 更 多 的 内 容 , 通 过 类 型 10 和 代码 0 
表明 这 是 一 个 ICMP 的 路 由 器 请 求 报 文 。 
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类 型 10 | ”代码 0 ”| “16 位 校 验 和 
未 用 (0) 

















图 5-6 ICMP 路 由 器 请 求 报 文 
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网 络 上 的 一 台 或 多 台 路 由 器 响应 一 份 路 由 器 通告 报 文 , 报 文 的 格式 如 图 5-7 所 示 。 
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类 型 9 代码 0 16 位 校 验 和 
地 址 数 “| 地 址 项 长 度 2 生存 时 间 
路 由 器 地 址 1 
优先 级 1 
路 由 器 地 址 2 
优先 级 2 



































图 5-7 ICMP 路 由 器 通告 报 文 


路 由 器 通告 报 文 类 型 为 9, 代码 为 0, 报 文中 地 址 数 指 在 数据 包 中 公告 的 路 由 器 地 址 个 
数 ; 地 址 项 长 度 则 用 于 定义 所 公告 的 每 个 路 由 器 地 址 按 4 字 节 计算 的 个 数 ,这 个 值 始终 为 
2; 生存 时 间 是 指 这 个 路 由 信息 可 以 被 认为 有 效 的 最 大 秒 数 ; 路 由 器 地 址 和 优先 级 可 以 有 
一 对 或 多 对 ,表示 发 送 的 可 用 路 由 器 的 IP 地 址 和 优先 级 ,优先 级 值 越 大 ,代表 该 地 址 的 路 由 
器 越 可 能 成 为 用 于 本 地 主机 的 默认 网 关 。 从 报 文 结构 可 见 , 一 条 路 由 器 通告 中 可 以 通告 多 
个 地 址 。 

除了 当 路 由 器 启动 的 时 候 会 定期 地 在 所 有 广播 和 多 播 传送 接口 上 发 送 路 由 器 通告 报 文 
以 外 ,路 由 器 也 会 定期 的 广播 或 多 播 传送 其 路 由 器 通告 报 文 ,以 允许 每 个 正在 监听 的 主机 相 
应 的 更 新 它们 的 路 由 表 。 另 外 ,路 由 器 还 要 监听 来 自主 机 的 请 求 报 文 并 发 送 响应 的 路 由 器 
通告 报 文 。 

在 较 复杂 的 网 络 里 ,往往 采用 动态 路 由 协议 来 实现 路 由 通告 , 比如 RIP (Route 
Information Protocol, 路 由 信息 协议 ) 等 ,这 部 分 内 容 将 在 第 6 童 介绍 。 


3. 时 间 戳 请 求 与 应 答 


ICMP 时 间 截 请 求 允许 系统 向 另 一 个 系统 查询 当前 的 时 间 , 返 回 的 建议 值 采 用 UTC 
(Universal Time Coordinated ,协调 的 统一 时 间 ) 计 时 方式 的 自 午夜 开始 计算 的 毫秒 数 。 
ICMP 时 间 戳 请 求 和 应 答 的 报 文 格式 如 图 5-8 所 示 。 
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类 型 13 或 14| ”代码 0 16 位 校 验 和 
标识 符 序列 号 
发 起 时 间 截 
接受 时 间 惟 
传送 时 间 截 








图 5-8 ICMP 时 间 戳 请 求 和 应 答 报 文 


类 型 13 为 时 间 截 请 求 报 文 , 类 型 14 为 时 间 戳 应 答 报 文 ,代码 固定 为 0。 
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请 求 端 填写 发 起 时 间 蕉 ,然后 发 送 报 文 。 应 答 系 统 收 到 请 求 报 文 时 填写 接收 时 间 蕉 ,在 
发 送 应 答 时 填写 传送 时 间 截 。 实 际 上 ,大 多 数 的 实现 把 后 面 两 个 字段 都 设 成 相同 的 值 (提供 
3 个 字段 的 原因 是 可 以 让 发 送 方 分 别 计 算 发 送 请 求 的 时 间 和 发 送 应 答 的 时 间 )。 这 个 报 文 
格式 是 固定 的 ,没有 可 选 数据 ,所 以 其 长 度 是 固定 的 。 

时 间 戳 请 求 和 应 答 报 文 可 以 用 于 估算 请 求 主机 和 信 宿 机 两 地 的 时 间 差 。 首 先 计算 出 时 
间 戳 请 求 和 应 达 报 文 的 往返 时 间 , 并 把 这 个 时 间作 为 一 般 数 据 包 的 往返 时 间 : 通过 初始 时 
间 戳 与 信 源 机 收 到 应 答 时 的 当前 时 间 ,两 者 相 减 , 便 是 往返 时 间 。 再 通过 接受 时 间 惟 和 发 起 
时 间 截 ,计算 出 报 文 到 达 信 宿 机 的 时 间 , 用 接受 时 间 戳 减 去 发 起 时 间 截 即 可 。 最 后 用 这 个 时 
间 减 去 往返 时 间 的 一 半 计 算出 两 地 时 差 。 当 然 , 由 于 数据 报 在 网 络 上 传输 的 随机 性 ,事实 上 
上 述 的 往返 时 间 也 不 太 准确 ,甚至 采用 多 次 测量 求 平 均值 也 不 一 定 准 确 。 

由 于 UTC 是 基于 原子 时 的 ,因此 这 种 ICMP 报 文 的 好 处 是 提供 了 毫秒 级 的 分 辩 率 。 
但 其 不 足 之 处 是 由 于 返回 的 时 间 是 从 午夜 开始 计算 的 ,因此 调用 者 必须 通过 其 他 方法 获知 
当时 的 日 期 。 

更 严格 的 计时 器 使 用 NTP(Network Time Protocol, 网 络 时 间 协 议 ), 该 协议 在 RFC 
1305 中 给 出 了 描述 。 最 新 的 NTP 版 本 是 第 4 版 (NTP Version 4) ,其 标准 化 文档 为 RFC 
5905。NTP 是 用 来 使 网 络 中 的 各 个 计算 机 时 间 同 步 化 的 一 种 协议 ,可 以 提供 高 精准 度 的 时 
间 校 正 ,在 局 域 网 内 可 达 0. lms, 在 互联 网 上 绝 大 多 数 的 地 方 其 精度 可 以 达到 1 一 50ms。 
NTP 还 提供 一 定 的 安全 机 制 来 防止 网 络 攻击 。 

目前 网 络 时 间 同 步 技术 还 在 向 更 高 精度 .更 强 的 兼容 性 和 多 平台 的 适应 性 方向 发 展 。 


4. 地 址 掩 码 请 求 与 应 答 


ICMP 地 址 掩 码 请 求 用 于 无 盘 系 统 在 引导 过 程 中 获取 自己 的 子 网 掩 码 。 与 利用 RARP 
来 获取 IP 地 址 类 似 ,系统 在 引导 过 程 中 广播 地 址 掩 码 请 求 报 文 , 希 望 从 网 络 上 获取 子 网 掩 
码 。RFC 规定 ,除非 系统 是 地 址 掩 码 的 授权 代理 ,否则 它 不 能 发 送 地 址 掩 码 应 答 , 大 多 数 主 
机 在 收 到 请 求 时 都 发 送 一 个 应 答 ,甚至 有 一 些 主机 还 发 送 错误 的 应 答 。 

ICMP 地 址 掩 码 请 求 与 应 答 报 文 格式 如 图 5-9 所 示 。 
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类 型 17 或 18| “代码 0 16 位 校 验 和 


标识 序列 号 














32 位 子 网 掩 码 











图 5-9 ICMP 地 址 掩 码 请 求 与 应 答 报 文 


类 型 17 为 地 址 掩 码 请 求 , 类 型 18 为 地 址 掩 码 应 答 。 代 码 固 定 为 0。ICMP 报 文中 的 标 
识 符 和 序列 号 字段 由 发 送 端 任意 选择 设 定 ,这 些 值 在 应 答 中 将 被 返回 。 这 样 ,发 送 端 就 可 以 
把 应 答 与 请 求 进行 匹配 。 获 得 地 址 掩 码 的 另 一 个 方法 是 通过 BOOTP 来 进行 。 
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63 ICMP 测试 和 故障 诊断 程序 


目前 网 络 中 用 于 ICMP 测试 和 故障 诊断 的 主要 应 用 程序 就 是 ping 和 traceroute 程序 。 
5.3.1 ping 程序 


ping 是 调试 网 络 的 基本 工具 .利用 的 就 是 最 常用 的 ICMP 回 显 请 求 与 应 答 机 制 ,最 基 
本 的 用 途 就 是 测试 网 络 的 连通 性 。ping 检查 是 否 有 数据 报 被 丢弃 ,复制 或 重 传 ,这 一 般 是 
通过 在 程序 中 连续 地 发 送 多 个 有 不 同 序 列 号 的 ICMP 请 求 ,通过 比较 收 到 的 ICMP 应 答 的 
序列 号 来 实现 。ping 程序 还 校 验 每 一 个 收 到 的 数据 报 ,确定 数据 是 否 损坏 。 

ping 程序 还 能 够 通过 在 其 所 发 送 的 数据 报 中 存放 发 送 请 求 的 时 间 值 ,根据 应 答 返 回 时 
的 时 间 信 息 计算 数据 包 的 往返 时 间 (Round trip time, RTT) , 据 此 可 以 推断 网 络 通信 状况 。 

不 同 操作 系统 下 ping 程序 的 功能 都 类 似 , 但 命令 格式 特别 是 参数 的 形式 有 所 不 同 。 实 
验 5-1 中 给 出 了 Windows 系统 下 ping 程序 命令 的 基本 使 用 格式 和 参数 。 其 他 操作 系统 中 
的 ping 程序 命令 及 参数 的 用 法 请 参考 相关 资料 。 

利用 IP 选项 ,ping 程序 还 可 以 支持 记录 路 由 和 时 间 蕉 信息 。 不 同 版 本 的 ping 程序 都 
具有 -r 选项 ,以 提供 记录 路 由 (Record Route,RR) 的 功能 ,让 ping 程序 在 发 送出 去 的 IP 数 
据 报 中 设置 IP RR 选项 (该 IP 数据 报 包 含 ICMP 回 显 请 求 报 文 ) 。 每 个 处 理 该 数据 报 的 路 
由 器 都 把 它 的 IP 地 址 (通常 是 路 由 器 数据 出 口 的 地 址 ) 放 入 选项 字段 中 。 当 数据 报到 达 目 
的 端 时 ,IP 地 址 清单 应 该 复制 到 ICMP 回 显 应 答 中 。 这 样 返回 途中 所 经 过 的 路 由 器 地 址 也 
被 加 入 清单 中 。 当 ping 程序 收 到 回 显 应 答 时 , 它 就 打印 出 这 份 IP 地 址 清单 。 在 具体 实现 
上 ,UNIX 类 系统 就 是 这 样 的 ,并 且 记录 路 由 选项 的 路 由 器 总 是 把 出 口 的 IP 地 址 加 入 清单 。 

IP 首部 中 选项 的 最 大 字 节 数 是 40, 这 样 记录 路 由 的 最 大 的 问题 是 IP 首部 中 用 来 存放 
路 由 器 IP 地 址 的 空间 很 有 限 。IP 首部 记录 路 由 的 一 般 格式 如 图 5-10 所 示 。 选 项 说 明 字段 
用 去 前 3 个 字 节 ,这 样 只 剩 下 37 个 字 节 来 存放 IP 地 址 清单 ,也 就 是 说 只 能 存放 9 个 IP 地 
址 。 一 个 字 节 长 的 code 指明 IP 选项 的 类 型 。 对 于 RR 选项 来 说 , 它 的 值 为 7。length 是 
RR 选项 总 字 节 长 度 ,ping 程序 总 是 提供 39 字 节 的 选项 字段 ,对 目前 的 网 络 来 说 ,这 已 经 不 
够 用 了 。 
ptr 称 为 指针 字段 。 它 是 一 个 基于 1 的 指针 ,指向 存放 着 下 一 个 路 由 器 IP 地 址 的 位 置 。 
它 的 最 小 值 为 4, 指向 存放 第 一 个 IP 地 址 的 位 置 。 随 着 每 个 IP 地 址 存 人 清单 ,ptr 的 值 相 
应 增加 ,如 图 5-10 所 示 中 ptr 指示 的 那样 。 
























































不作 
| 39 个 字 节 | 
code|length| ptr |ipaddr #1] |ipaddr #2|ip addr 村 0 ipaddr #9 
1 1 1 人 4 字 季 征 4 字 季 人 4 字 季 1 43 节 1 
ptr=4 ptr=8 ptr=12 ptr=36 ptr=40 


图 5-10 IP 首 部 记录 路 由 选项 的 格式 
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IP 时 间 戳 选项 的 处 理 上 与 记录 路 由 选项 类 似 , 但 选项 说 明 字 段 用 4 个 字 节 , 报 文 格式 
如 图 5-11 所 示 。 其 中 ,code 的 值 0x44, 表 示 IP 选项 是 时 间 戳 选项 ,length 和 ptr 字段 与 记 
录 路 由 选项 相同 。 另 外 ,增加 了 两 个 长 度 都 是 4 位 的 字段 OF 和 FL。OF 为 溢出 字段 , 取 1 
表示 数据 溢出 , 即 选 项 空间 不 够 完全 记录 数据 。FL 为 标志 字段 , 取 0, 则 选项 只 记录 时 间 
戳 ; 取 1, 则 选项 要 记录 每 台 路 由 器 的 IP 地 址 和 时 间 戳 。 












































40 个 字 节 
-= =| 
code| length | ptr |OF|FL| 时 间 截 妇 | 时 间 截 妃 | 时 间 截 如 2 时 间 截 #9 
1 1 1 和 4 字 节 作 4 字 节 人 4 节 人 4 
ptr=5 ptr=9 ptr=13 ptr=37 


图 5-11 IP 首 部 记录 时 间 稚 选项 的 格式 


若 要 在 IP 选项 中 同时 记录 时 间 惟 处 的 路 由 器 地 址 ,就 必须 用 8 个 字 节 才能 够 同时 记录 
位 置 和 时 间 , 这 样 IP 选项 最 多 记录 4 个 路 由 器 的 时 间 截 。 

ping 程序 的 使 用 也 在 随 着 技术 的 发 展 而 变化 。 曾 经 还 可 以 作出 这 样 没有 限定 的 断言 : 
如 果 不 能 ping 到 某 台 主机 ,那么 就 不 能 Telnet 或 FTP 到 那 台 主机 。 随 着 Internet 安全 意 
识 的 增强 ,出 现 了 提供 访问 控制 清单 的 路 由 器 和 防火 墙 , 那 么 像 这 样 没有 限定 的 断言 就 不 再 
成 立 了 。 一 台 主 机 的 可 达 性 可 能 不 只 取决 于 IP 层 是 否 可 达 , 还 取决 于 使 用 何 种 协议 以 及 端 
口号 。ping 程序 的 运行 结果 可 能 显示 某 台 主机 不 可 达 , 但 仍然 可 以 用 Telnet 远程 登录 到 该 
台 主 机 的 某 些 端口 ,例如 ,25 号 端口 (邮件 服务 器 ) 。 


5.3.2 traceroute 程序 


traceroute 程序 (Windows 下 程序 名 称 为 tracert. exe) 可 以 使 用 户 获 得 IP 数据 报 从 一 
台 主 机 传输 到 另 一 台 主 机 所 经 过 的 路 由 。traceroute 还 可 以 利用 IP 选项 来 支持 源 站 选 路 。 

如 果 要 查看 IP 数据 报 经 过 的 路 径 ,使 用 ping 程序 的 IP 记录 路 由 选项 就 可 以 实现 。 但 
由 于 网 络 上 不 是 所 有 的 路 由 器 都 支持 记录 路 由 选项 ,并 且 利用 ping 程序 记录 下 来 的 路 由 器 
地 址 要 记录 往返 的 节点 地 址 ,这 样 来 回 记录 使 得 数据 增加 了 一 番 。 更 主要 的 是 IP 首部 中 记 
录 路 由 选项 的 空间 有 限 ,而 目前 网 络 的 规模 又 越 来 越 大 。 这 些 都 大 大 地 限制 了 利用 ping 程 
序 的 IP 记录 路 由 选项 来 获得 路 径 的 效能 ,而 traceroute 则 是 代替 其 功能 的 有 效 实现 。 

traceroute 的 工作 原理 主要 是 利用 ICMP 差错 报 文中 超时 机 制 和 IP 首部 中 的 TTL 字 
段 设置 来 实现 的 。 不 同 的 操作 系统 或 环境 中 ,traceroute 程序 的 具体 实现 上 有 所 不 同 , 主 要 
有 基于 ICMP 或 基于 UDP 的 两 种 方式 。 

Microsoft Windows 使 用 基于 ICMP 回 显 请 求 和 响应 的 方法 ,其 他 包括 UNIX、 Linux 
和 Cisco 路 由 器 中 都 使 用 基于 UDP 端口 不 可 达 的 机 制 。 


1. 基于 ICMP 的 traceroute 


traceroute 程序 基于 ICMP 回 显 请 求 (Echo Request) 、 回 显 应 答 (Echo Reply) 和 时 间 超 
时 (TTL-expired) 来 实现 ,完全 基于 ICMP ,因而 也 可 简称 ICMP traceroute。 
这 时 ,程序 的 工作 机 制 描述 如 下 。 
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(1) 首先 源 主 机 发 出 ICMP Echo Request, 第 一 次 Echo request 的 TTL 设置 为 1, 第 二 
次 Echo request 的 TTL 设置 为 2, 依 此 递增 直至 第 30 次 ,实际 程序 中 每 次 一 般 会 发 出 多 个 
(常常 是 3 个 )Echo request 报 文 来 避免 网 络 传输 带 来 的 偶然 错误 。 

(2) 中 间 的 路 由 器 对 收 到 的 ICMP 报 文 中 IP 首部 的 TTL 做 递减 操作 ,如果 TTL 值 为 
0 或 1, 就 对 源 主机 送 回 ICMP TTL 超时 报 文 CTTL-expired,ICMP type 11) ,ICMP 请 求 报 
文 同时 因 TTL 超时 而 被 丢弃 。 

(3) 源 主机 递 次 地 收 到 中 间 路 由 器 发 回 的 ICMP TTL-expired 差错 报 文 ,由 此 知晓 去 
往 目 的 地 所 经 过 的 每 一 个 路 由 器 。 

(4) 最 后 的 ICMP Echo Request 报 文 到 达 目 的 节点 时 , 送 回 ICMP Echo Reply, 源 主机 
收 到 这 个 Echo Reply 报 文 便 知道 已 经 完成 了 路 径 探索 ,就 不 再 发 送 TTL 增加 的 Echo 
Request 报 文 而 是 结束 程序 。 


2. 基于 UDP 的 traceroute 


这 种 traceroute 程序 源 主机 发 出 的 是 UDP 报 文 段 ,使 用 特别 的 UDP 端口 号 ,利用 
ICMP 时 间 超 时 (TTL-expired: type 11) 和 ICMP 端口 不 可 达 (port unreachable: type 3， 
code 3) 差 错 报 文 来 实现 。 由 于 程序 基于 UDP 报 文 的 发 送 , 因 此 可 称 为 UDP traceroute。 

UDP traceroute 程序 的 工作 机 制 描述 如 下 。 

(1) 源 主机 发 出 UDP 报 文 段 (可 把 这 样 的 报 文 称 为 UDP 探 针 )。 探 针 报 文 的 源 端 口 使 
用 随机 的 任何 大 于 32 768 的 高 段 端 口 , 报 文 的 目标 端口 则 从 33 434 开始 ,在 后 续 的 每 个 报 
文 段 中 依 此 递增 ,直至 33 434 十 29 即 33 463。 同 时 承载 这 些 UDP 探 针 的 IP 报 文 的 TTL 
从 1 开始 依 此 递增 ,直至 30( 最 多 发 送 30 个 UDP 探 针 ) 。 

(2) 和 ICMP traceroute 程序 的 工作 过 程 一 样 ,中 间 的 路 由 器 会 送 回 ICMP TTI- 
expired 差错 报 文 ,使 得 源 主机 得 知 中 间 的 每 一 个 路 由 器 。 

(3) UDP 探 针 报 文 到 达 最 后 的 目标 节点 时 ,因为 任何 主机 上 都 没有 应 用 使 用 UDP 
port 大 于 32 768 这 样 的 高 段 端 口 , 所 以 目标 节点 送 回 ICMP 端口 不 可 达 (port unreachable) 
差错 报 文 。 

traceroute 工作 时 会 因为 中 间 路 由 器 的 设置 使 得 路 由 器 不 回 送 TTL-expired 包 , 这 样 
源 主机 上 将 看 不 到 中 间 路 由 器 地 址 ,但 却 看 得 到 报 文 最 后 到 达 目 的 主机 时 回 送 的 响应 。 

某 些 网 络 设备 , 如 Cisco 的 路 由 器 ,可 以 使 用 extended-traceroute 命令 修改 UDP 探 针 
使 用 的 起 始 33 434 端口 号 。 





3. IP 源 站 选 路 选项 


traceroute 和 ping 程序 命令 都 提供 了 源 路 由 选项 。 下 面 对 此 做 简要 说 明 。 

源 路 由 即 源 站 选 路 (source routing) ,其 思想 是 由 发 送 者 指定 路 由 。 通 常 源 路 由 分 两 种 
形式 : 严格 源 路 由 和 宽松 源 路 由 ,其 差别 是 严格 源 路 由 所 指定 的 下 一 个 路 由 器 不 在 其 直接 
连接 的 网 络 上 ,那么 就 返回 一 个 “ 源 站 路 由 失败 ”的 ICMP 差错 报 文 ( 类 型 为 3, 代 码 为 5) ,而 
宽松 源 路 由 则 允许 数据 报 在 清单 上 指明 的 任意 两 个 地 址 之 间 可 以 通过 其 他 路 由 器 。 

源 路 由 的 实现 通过 采用 IP 选项 来 记录 路 由 信息 ,其 报 文 格式 与 图 5-10 所 示 的 IP 记录 
路 由 选项 相同 。 宽 松 源 路 由 的 code 取 值 为 0x83, 严 格 源 路 由 的 code 取 值 为 0x89。 
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源 路 由 数据 包 在 发 送 的 过 程 中 ,会 对 选项 中 的 IP 地 址 清单 进行 更 新 。 发 送 主机 从 应 用 
程序 接 到 源 路 由 清单 后 , 先 将 第 一 个 表 项 取出 ,将 所 有 剩余 的 地 址 向 左 移 一 格 位 置 ,并 将 最 
终 目 的 地 址 作为 清单 的 最 后 一 项 ,再 把 ptr 指针 指向 清单 的 第 一 项 ,然后 将 取出 的 第 一 个 表 
项 地 址 作为 下 一 跳 地 址 发 送 报 文 。 数 据 包 到 达 目 的 主机 时 , 且 指 针 大 小 比 选项 长 度 小 ,路 由 
器 会 将 指针 指向 的 IP 地 址 填 入 数据 包 的 目的 IP 地 址 字段 ,将 数据 包 外 出 接口 的 IP 地 址 填 
入 到 指针 指向 的 位 置 (outgoing interface) ,然后 将 指针 加 4 指向 下 一 个 IP 地 址 ,再 重新 发 
送 给 这 个 新 的 IP 地 址 。 如 果 指 针 大 小 比 选项 长 度 大 ,说 明 已 经 到 达 了 列表 末尾 ,这 个 主机 
就 是 最 终 的 目的 主机 。 

如 果 数 据 包 含有 宽松 源 路 由 选项 ,那么 数据 包 转 发 过 程 中 ,如 果 自 己 不 是 目的 主机 , 则 
会 继续 转发 ,不 对 IP 列表 进行 操作 。 

当 一 个 应 用 程序 接收 到 有 源 路 由 指定 路 由 的 数据 时 ,在 发 送 应 答 时 ,应 该 读 出 接收 到 的 
路 由 值 ,并 提供 反 向 路 由 。 

IP 源 站 选 路 一 度 曾经 是 网 络 攻 击 者 借用 的 手段 ,因此 目前 许多 路 由 器 对 带 有 源 站 选 路 
的 报 文 都 会 设置 为 不 予 处 理 。 相 关内 容 请 参考 网 络 安全 方面 的 资料 。 


6.4 小 结 


(1) ICMP 可 提供 有 关 网 络 可 连接 性 的 信息 ,提供 可 达 性 、 交 互 错误 、 路 由 错误 报告 及 
控制 信息 等 IP 不 能 够 提供 的 信息 ,并 把 信息 返回 给 发 送 方 ,是 TCP/IP 网 络 层 的 重要 协议 。 

(2) ICMP 报 文 是 封装 在 IP 数据 报 内 作为 IP 报 文 的 数据 被 传输 的 。ICMP 报 文 除了 
首部 4 个 字 节 一 致 外 ,并 没有 一 个 统一 的 报 文 格式 ,而 是 采用 不 同 的 类 型 和 代码 值 来 区 分 各 
种 类 别 的 ICMP 报 文 。 

(3) ICMP 差错 报 文 对 IP 通信 中 产生 的 各 种 差错 向 源 端 进行 报告 ,差错 报 文 始终 包含 
产生 ICMP 差错 的 IP 报 文 的 首部 和 IP 报 文中 数据 的 前 8 个 字 节 。 

(4) ICMP 差错 报告 中 具有 控制 功能 的 报 文 包括 源 抑制 报 文 和 重 定向 报 文 ,其 中 源 站 
抑制 报 文 用 于 拥塞 控制 ,路 由 重 定向 报 文 则 用 于 路 径 控制 。 重 定向 报 文 可 以 对 主机 路 由 表 
进行 更 新 。 

(5) ICMP 查询 报 文中 最 常用 的 是 ICMP 回 显 请 求 与 应 答 报 文 ,其 他 还 有 路 由 器 询问 
与 通告 .地址 掩 码 请 求 和 应 答 及 时 间 戳 请 求 和 应 答 报 文 。 这 些 都 属于 典型 的 请 求 一 应 答 报 
文 , 通 过 ICMP 报 文中 的 标识 符 和 序列 号 ,使 得 客户 程序 可 以 在 应 答 和 请 求 之 间 进行 匹配 。 

(6) 利用 ICMP 的 重要 应 用 程序 有 ping 程序 和 traceroute 程序 ,在 网 络 工程 实际 中 用 
作 测试 网 络 状况 .获取 路 径 信息 的 工具 。 

(7) 记录 路 由 .时 间 截 和 源 站 选 路 等 应 用 都 可 以 利用 IP 选项 .ping 程序 和 traceroute 
程序 相 结合 来 实现 。 


6.5 习题 


1. 分 析 ping 程序 实现 IP 记录 路 由 选项 和 时 间 截 选项 的 原理 。 
2. 分 析 traceroute 工作 的 原理 ,尝试 验证 具体 系统 中 traceroute 程序 的 不 同 实现 方法 。 
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3. 什么 叫 宽松 的 IP 源 站 选 路 和 严格 的 源 站 选 路 ? 
4. 如 何 利用 netstat 命令 查看 主机 收发 的 ICMP 报 文 类 型 ? 


实验 


实验 5-1 ICMP 回 显 查询 报 文 
1. 实验 说 明 


通过 运行 ping 程序 ,在 真实 网 络 环境 中 观察 分 析 ICMP 回 显 请 求 和 响应 报 文 ,理解 
ICMP 查询 报 文 的 格式 和 工作 特点 。 

Windows 系统 下 ping 程序 命令 的 基本 格式 和 参数 如 下 。 

ping [-t][-a]l[-ncount][-11lengthl][-f][-iTrL][-vTOS] [=-zrcount][-scount] 

[[-jhost-1list] : [~—k host— list]] [-wtinmeout] target_name 

主要 参数 的 用 法 及 含义 如 下 。 

(1) -t: 校 验 与 指定 计算 机 的 连接 ,直到 用 户 中 断 。 

(2) -a: 将 地 址 解析 为 计算 机 名 。 

(3) -n count: 发 送 由 count 指定 数量 的 回 显 请 求 报 文 , 即 ECHO 报 文 , 默 认 值 为 4。 

(4) -1 length: 发 送 包含 由 length 指定 数据 长 度 的 回 显 请 求 报 文 ,默认 值 为 32 字 节 ,最 
大 值 为 8192 字 节 。 

(5) -f: 在 IP 首部 中 设置 “不 分 片 ”标志 ,使 包 不 被 网 络 上 的 路 由 器 分 片 。 

(6) -i TTL: 将 IP 首部 的 “生存 时 间 ” 字 段 设置 为 TTL 指定 的 数值 。 

(7) -vTOS: 将 IP 首部 的 “服务 类 型 "字段 设置 为 TOS 指定 的 数值 。 

(8) -r count: 在 IP 首部 选项 中 的 “记录 路 由 ”字段 中 记录 发 出 报 文 和 返回 报 文 的 路 由 。 
指定 的 count 值 最 小 为 1, 最 大 为 9。 

(9) -s count: 在 JIP 首部 选项 中 的 “时 间 戳 选项 ?字段 中 记录 由 count 指定 的 转发 次 数 
的 时 间 苓 ,也 可 以 同时 记录 转发 节点 的 IP 地 址 。 

(10) -j host-list: 经 过 由 host-list 指定 的 计算 机 列表 的 路 由 报 文 。 中 间 网 关 可 能 分 隔 
连续 的 计算 机 (松散 的 源 路 由 )。 人 允许 的 最 大 IP 地 址 数目 是 9。 

(11) -k host-list: 经 过 由 host-list 指定 的 计算 机 列表 的 路 由 报 文 。 中 间 网 关 不 能 分 隔 
连续 的 计算 机 (严格 源 路 由 )。 人 允许 的 最 大 IP 地 址 数目 是 9。 

(12) -w timeout: 以 毫秒 为 单位 指定 超时 间隔 。 

(13) target_name: 指定 要 校 验 连接 的 远程 计算 机 。 

ping 程序 命令 的 参数 较 多 ,部 分 参数 的 用 法 和 Linux 系统 中 有 所 不 同 ,实验 时 要 注意 
区 分 。 


2. 实验 环境 


Windows 或 Linux 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 或 Internet) ， 
安装 有 Wireshark 1. 10。 
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3. 实验 步骤 


步骤 1 在 实验 计算 机 上 先 启动 Wireshark ,过 滤器 可 以 设置 为 只 查看 ICMP 报 文 。 
步骤 2 在 实验 计算 机 上 打开 命令 行 窗口 ,对 网 络 中 存在 的 主机 节点 ,如 本 局 域 网 中 某 
个 主机 或 互联 网 上 的 主机 ,运行 如 下 命令 ping: 


C:\> ping 192.168.0.100 
或 
ping www. baidu. com 


Windows 系统 中 的 ping 程序 一 般 都 是 发 送 4 个 32 字 节 数据 的 ICMP 回 显 请 求 报 文 ， 
查看 捕获 的 数据 包 中 回 显 请 求 与 响应 包 的 对 应 关系 。 

步骤 3 对 网 络 中 不 存在 的 IP 地 址 ,如 本 局 域 网 中 或 互联 网 上 不 存在 的 主机 ,运行 
ping 命令 ,观察 能 捕获 到 什么 样 的 报 文 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 ICMP 回 显 请 求 和 响应 报 文 组 成 ,理解 ICMP 查 
询 报 文 的 实现 过 程 和 工作 特点 。 


5. 思考 


(1) 比较 Windows 和 Linux 系统 中 ping 程序 命令 的 用 法 的 异同 。 

(2) UNIX 环境 下 的 ping 程序 实现 中 ,采用 在 发 出 的 ICMP 回 显 请 求 报 文 里 存放 发 送 
请 求 的 时 间 值 ,再 根据 应 答 返 回 时 的 时 间 信 息 计算 RTT。Windows 是 这 样 得 到 RTT 的 
吗 ? 读者 打算 如 何 搞 清楚 这 一 点 ? 

实验 5-2 ”ping 程序 和 IP 选项 

1. 实验 说 明 

通过 运行 ping 程序 ,指定 记录 路 由 或 时 间 蕉 , 在 真实 网 络 环 境 中 观察 分 析 带 有 IP 记录 


路 由 选项 和 IP 时 间 截 选项 的 ICMP 回 显 请 求 和 响应 报 文 ,理解 IP 记录 路 由 选项 和 时 间 惟 
选项 的 报 文 格式 和 工作 特点 。 


2. 实验 环境 


Windows 或 Linux 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 或 Internet)， 
安装 有 Wireshark 1. 10。 


3. 实验 步骤 


步骤 1 在 实验 计算 机 上 先 启动 Wireshark ,过 滤器 可 以 设置 为 只 查看 ICMP 报 文 。 
步骤 2 在 实验 计算 机 上 打开 命令 行 窗口 ,查看 ping 程序 的 用 法 ,Windows 下 执行 命 
邻 “ping /?”,Linux 下 执行 命令 “#man ping”。 
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步骤 3 选择 网 络 中 与 实验 主机 之 间 有 多 个 路 由 器 的 网 络 主机 节点 ,如 互联 网 上 的 主 
机 ,运行 带 有 记录 路 由 选项 的 ping 命令 (注意 Windows 和 Linux 下 的 命令 格式 不 同 ) 。 


C:\> ping - 工 n www. sohu. com 


命令 中 的 n 取 值 在 1~9., 表 示 选 项 中 要 记录 的 路 由 数 。 

查看 捕获 的 回 显 请 求 与 响应 包 中 的 IP 报 文 ,特别 注意 观察 IP 首部 和 选项 部 分 的 内 容 ， 
比较 发 出 的 请 求 报 文 和 对 应 的 响应 报 文中 IP 选项 部 分 的 内 容 。 

步骤 4 选择 网 络 中 与 实验 主机 之 间 有 多 个 路 由 器 的 网 络 主机 节点 ,如 互联 网 上 的 主 
机 ,运行 带 有 时 间 戳 选项 的 ping 命令 (注意 Windows 和 Linux 下 的 命令 格式 不 同 ) ; 


C:\> ping -tn www. sohu. com 


命令 中 的 nn 取 值 在 1~4, 表 示 选 项 中 要 记录 的 时 间 蕉 数 。 
查看 捕获 的 回 显 请 求 与 响应 包 中 的 IP 报 文 ,特别 注意 观察 IP 首部 和 选项 部 分 的 内 容 ， 
比较 发 出 的 请 求 报 文 和 对 应 的 响应 报 文中 IP 选项 部 分 的 内 容 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 IP 记录 路 由 选项 和 时 间 戳 选项 的 报 文 组 成 , 理 
解 IP 记录 路 由 和 时 间 截 选项 的 实现 过 程 和 工作 特点 。 


5. 思考 

32 位 的 时 间 惟 数值 的 表示 方法 是 怎么 样 的 ?计算 一 下 实验 中 获得 的 时 间 截 数值 表示 
的 时 间 是 多 少 。 

实验 5-3 ICMP 重 定向 差错 报 文 

1. 实验 说 明 


利用 GNS3 构建 实验 虚拟 网 络 ,通过 捕获 路 由 器 转发 过 程 中 数据 包 的 分 析 , 观 察 ICMP 
重 定向 现象 ,掌握 ICMP 重 定 向 报 文 格式 和 重 定 向 工作 原理 ,理解 重 定 向 更 新 路 由 表 的 方式 
及 重 定向 对 网 络 安全 的 影响 。 





2. 实验 环境 


Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 ) ,安装 有 GNS3 0. 8. 3.1 
(安装 时 选择 安装 有 VPCS) ,Wireshark 1. 10。 


3. 实验 步骤 


步骤 1 在 GNS3 中 建立 如 图 5-12 所 示 的 实验 拓扑 ,图 中 除 标 识 IP 地 址 外 ,还 把 几 个 
主要 的 MAC 地 址 作为 示例 也 标注 在 图 中 ,实验 时 以 实际 MAC 为 准 。 图 中 Cl 为 Virtual 
PC, 启 动 VPCS, 运 行 以 下 命令 。 


VPCS[1]ip 10.1.1.1 /24 10.1.1.2 
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MV 


Rl1 R3 
30.1.1.1/24 















10.1.1.1/24 
MAC:00:50:79:66:68:00 人 人 0 
3 30.1.1.2/24 
Gateway:10.1.1.2 10.1.1.2/24 
cl / MAC:c8:01:10:88:00: 
SWI MAC:c8:01:10:88:00:00 


20.1.1.2/24 
R4 






20.1.1.1/24 





10.1.1.3/24 f0/0 
MAC:c8:02:10:88:00:00 


图 5-12 ICMP 重 定向 实验 拓扑 


将 Cl 的 IP 地 址 设 为 10. 1. 1. 1/24, 默 认 网 关 指 向 路 由 器 R1(10. 1.1.2)。 

各 路 由 器 均 选 择 Cisco 2621, 均 配置 运行 RIPv2。 各 个 路 由 器 的 配置 过 程 都 相似 ,下 面 
仅 以 R1 为 例 , 说 明 路 由 器 接口 配置 。R1 配置 命令 如 下 。 

R1(config) # inte £0/0 

Ri(config~ if)#no shut 

Ri(config— if)#ipaddr 10.1.1.2 255.255.255.0 

Ri(config— if)#exit 

R1(config) # inte f0/1 

R1(config- if)#no shut 

Rl(config- if)#ipaddr 30.1.1.1 255.255.255.0 


配置 RIPv2 命令 如 下 。 


R1(config) # router rip 

Rl(config- router)#network 10.1.1.0 

Ri(config— router) #network 30.1.1.0 

R1(config- router) #version 2 

将 4 个 路 由 器 都 配置 好 后 ,很 快 各 个 路 由 器 上 均 有 了 路 由 表 信 息 ,可 以 用 show ip route 
命令 在 各 个 路 由 器 上 查看 验证 。 

步骤 2 观察 ICMP 重 定向 对 数据 包 路 由 的 影响 。 

实验 观察 Cl 发 往 R4 的 数据 转发 情况 。 在 R1 的 f0/0、R2 的 {0/0 接口 处 启动 抓 包 , 然 
后 在 C1 的 命令 提示 符 下 ,输入 以 下 命令 。 


VPCS[1]ping 20.1.1.2 


重 定向 功能 在 路 由 器 上 是 默认 启用 的 ,记录 在 C1 上 看 到 的 输出 信息 ,观察 重 定向 的 
发 生 。 

注意 ,R1f0/0 处 收发 的 分 组 链 路 层 帧 的 MAC 地 址 ,记录 重 定向 发 生前 后 Cl1 上 ping 程 
序 产生 的 ICMP 分 组 的 MAC 地 址 。 

观察 由 R1f0/0 发 往 R2f0/0 接口 的 分 组 的 变化 情况 ,注意 在 Wireshark 中 捕获 到 的 
ICMP 重 定向 报 文 的 内 容 。 

步骤 3 观察 关闭 重 定向 后 的 数据 转发 。 

运行 下 列 命令 ,在 路 由 器 R1 的 {0/0 接口 关闭 ICMP 重 定向 。 
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R1(config) # int £0/0 

Ri(config— if)#no ip redirect 

再 次 在 C1 上 运行 命令 “ping 20. 1.1.2”, 由 于 Rl 已 经 关闭 重 定向 功能 ,C1 发 出 的 数据 
将 首先 经 过 默认 网 关 再 转发 , 即 按照 CI1-~>R1-~R2->~R4 这 样 的 走向 。 在 R1 上 进行 抓 包 观 

步骤 4 修改 图 5-12 的 C1 为 直接 利用 路 由 器 在 GNS3 中 模拟 主机 。 

观察 用 路 由 器 模拟 主机 ,重复 上 述 实验 的 过 程 。 

路 由 器 在 关闭 路 由 功能 后 将 接收 ICMP 重 定向 ,对 路 由 器 的 恶意 攻击 有 可 能 利用 这 一 
点 来 实施 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 ICMP 重 定 向 差错 报 文 的 组 成 ,理解 ICMP 重 定 
向 的 原理 和 工作 特点 。 认 识 关 闭路 由 器 路 由 功能 时 重 定向 引起 的 安全 问题 。 


5. 思考 


(1) 用 VMware 虚拟 机 充当 主机 进行 ICMP 重 定向 ,实验 将 如 何 实现 ? 
(2) 要 设计 怎样 的 网 络 工 作 状况 才 可 以 观察 到 其 他 类 型 的 ICMP 差错 报 文 ?如 主机 不 
可 达 或 端口 不 可 达 。 


实验 5-4 _ traceroute 程序 
1. 实验 说 明 


通过 捕获 traceroute 程序 工作 过 程 中 收发 数据 包 的 分 析 , 掌 握 traceroute 程序 的 工作 
原理 ,掌握 ICMP 超时 差错 报 文 格式 ,理解 traceroute 程序 基于 ICMP 和 UDP 的 不 同 实现 
方式 ,理解 IP 源 站 选 路 的 工作 特点 和 报 文 格式 。 

traceroute 程序 的 命令 格式 与 其 在 不 同 操作 系统 中 的 具体 实现 有 关 。 

Windows 下 的 tarcert. exe 命令 格式 如 下 。 


tracert [~ d] [~ hmaximum hops] [~—j host— list] [-wtimeout] target_name 


命令 的 参数 说 明 如 下 。 

(1) -d: 指定 不 对 计算 机 名 解析 地 址 。 

(2) -h maximum_hops: 指定 查找 目标 的 跳 转 的 最 大 数目 。 
(3) -j host-list: 指定 在 host-list 中 宽松 源 路 由 。 

(4) -w timeout: 等 待 由 timeout 对 每 个 应 答 指 定 的 毫秒 数 。 
(5) target_name: 目标 计算 机 的 名 称 。 

Linux 系统 中 的 traceroute 命令 格式 如 下 。 


traceroute [options] < IP - address or domain - name > [data size] 


命令 参数 说 明 如 下 。 
(1) [options] 的 常用 内 容 有 : 
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@ -d: 使 用 Socket 层级 的 排 错 功能 。 

@ -ffirst_ttl: 设置 第 一 个 检测 数据 包 的 存活 数值 TTL 的 大 小 。 

@ -F: 设置 不 分 片 位 。 

@ -g gate: 设置 源 路 由 网 关 , 最 多 可 设置 8 个 。 

@ -i device: 使 用 指定 的 网 络 界面 送出 数据 包 。 

@ -I: 使 用 ICMP 回应 取代 UDP 资料 信息 。 

@ -m max_ttl: 设置 检测 数据 包 的 最 大 存活 数值 TTL 的 大 小 。 

@ -n: 直接 使 用 IP 地 址 而 非 主机 名 称 。 

Q@ -p port: 设置 UDP 传输 协议 的 通信 端口 (默认 为 33 434) 。 

外 -q nqueries: 设置 测试 报 文 数目 (默认 为 3) 。 

加 -r sendwait: 忽略 普通 的 Routing Table, 直 接 将 数据 包 送 到 远 端 主机 上 。 
四 -s src_addr: 设置 本 地 主机 送出 数据 包 的 IP 地 址 。 

@@ -ttos: 设置 检测 数据 包 的 TOS 数值 。 

@@ -v: 详细 显示 指令 的 执行 过 程 。 

国 -w waittime: 设置 等 待 远 端 主机 回报 的 时 间 。 

四 -x: 开启 或 关闭 数据 包 的 正确 性 检验 。 

(2) [data size]: 每 次 测试 包 的 数据 字 节 长 度 (默认 为 38) 。 

还 有 一 些 不 经 常 使 用 的 选项 ,需要 了 解 时 可 以 参考 程序 提供 的 帮助 信息 。 


2. 实验 环境 


Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 Internet), Wireshark 1. 10。 


3. 实验 步骤 


(1) 基于 ICMP 的 traceroute 工作 过 程 。 


步骤 1 在 一 台 能 够 连接 Internet 的 Windows 主机 上 ,启动 Wireshark ,设置 过 滤器 为 
ICMP。 


步骤 2 在 Windows 命令 行 运行 下 列 命令 。 
C:\> tracert www. sohu. com (也 可 以 选择 其 他 可 跟踪 路 点 的 目标 节点 ) 
观察 命令 执行 过 程 中 输出 的 跟踪 路 点 的 内 容 。 


步骤 3 ”对照 分 析 捕 获 的 tracert 程序 发 出 的 ICMP 回 显 请 求 报 文 .ICMP 超时 差错 报 
文 .到达 目标 节点 的 ICMP 回 显 响应 报 文 , 注 意 各 IP 报 文 的 TTL 时 间 。 


(2) IP 源 站 选 路 选项 观察 。 


步骤 1 执行 命令 tracert /? 查看 程序 的 参数 选项 ,了 解 宽松 的 源 路 由 的 命令 格式 。 

步骤 2 接续 上 面 (1) 中 的 实验 ,在 其 命令 输出 的 去 往 www. sohu. com 的 路 径 上 ,选择 
两 个 路 由 器 地 址 ,如 61. 139. 45. 197,171. 208. 202. 97, 作 为 指定 的 源 路 由 (去 往 目 的 地 的 路 
径 可 能 不 唯一 ,以 实际 执行 命令 时 得 到 的 信息 为 准 ) ,执行 下 列 命 令 。 


C:\> tracert - j 61.139.45.197 171.208.202.97 www. sohu. com 


观察 命令 输出 结果 。 
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步骤 3 查看 捕获 的 ICMP 回 显 请 求 报 文中 IP 选项 的 内 容 , 记 录 选 项 里 code、ptr 的 
值 ,记录 选项 中 IP 地 址 的 内 容 。 

由 于 不 少 路 由 器 对 带 IP 源 站 选 路 选项 的 报 文 都 做 了 限制 ,因此 不 一 定 能 够 捕获 ICMP 
回 显 响应 报 文 。 如 果 能 够 捕获 到 ,记录 并 分 析 其 中 的 上 述 各 项 内 容 的 值 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 ICMP 超时 差错 报 文 的 组 成 ,分 析 理 解 利用 
ICMP 回 显 请 求 响应 报 文 和 超时 差错 报 文 实现 traceroute 的 工作 原理 ; 分 析 IP 源 路 由 选项 
中 ptr\IP 地 址 的 内 容 及 变化 与 traceroute 工作 特点 的 关系 。 


5. 思考 

(1) 如 何 能 够 观察 到 基于 UDP 的 traceroute 实现 ? 

(2) 如 何 根据 带 有 源 站 选 路 的 traceroute 命令 的 输出 , 画 出 到 目的 节点 的 拓扑 路 径 ? 
6. 延伸 学 习 


IP 源 路 由 可 以 被 攻击 者 利用 ,以 欺骗 目的 节点 将 数据 报 发 往 本 不 应 该 经 过 的 网 络 , 进 
而 被 窃听 者 资 用 。 

防范 IP 源 路 由 欺骗 的 方法 主要 有 : 配置 好 路 由 器 ,使 它 抛弃 那些 由 外 部 网 进来 的 、 声 
称 是 内 部 主机 的 报 文 ; 关闭 主机 和 路 由 器 上 的 源 路 由 功能 。 

Cisco 路 由 器 关闭 源 路 由 功能 的 命令 如 下 。 


R(config) # no ip source - route 


请 在 课 后 阅读 相关 资料 ,学 习 防 范 IP 源 路 由 欺骗 的 方法 。 
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IP 协 议和 IP 选 路 协议 | 


IP(JInternet Protocol, 网 际 协议 ) 是 TCP/IP 协议 族 中 最 为 核心 的 协议 。 所 有 的 TCP、 
UDP ICMP 及 IGMP 数据 都 是 以 IP 数据 报 格式 传输 的 。 从 在 TCP/IP 网 络 体系 结构 中 的 
功能 看 ,IP 层 主要 负责 路 由 , 即 为 数据 包 选 路 。 

本 章 主要 介绍 IP 首部 中 的 各 个 字段 ,讨论 IP 路 由 选择 的 有 关内 容 , 对 动态 选 路 协议 进 
行 学 习 。 学 习 IP 分 片 的 报 文 格式 和 工作 过 程 , 介 绍 路 径 MTU 发 现 的 实现 方法 。 作 为 网 络 
基本 原理 的 学 习 , 本 书 将 仍然 以 IPv4 为 主要 内 容 进行 介绍 。 


@.1 IP 协 议 


IP 层 协 议 的 主要 功能 是 使 通过 由 路 由 器 连接 的 互联 网 络 传输 数据 报 。 具 体 来 说 ,IP 定 
义 了 在 整个 TCP/IP 网 络 上 传输 数据 所 用 的 基本 单元 ,规定 了 在 Internet 上 传输 数据 的 确 
切 格式 ,IP 路 由 选择 的 功能 决定 数据 发 送 的 路 由 。 所 有 参与 通信 的 节点 用 网 络 层 地 址 (IP 
地 址 ) 来 标识 , 源 端 和 目的 端 IP 地 址 会 在 整个 传输 过 程 中 保存 在 IP 报 文 的 首部 ,传输 路 径 
上 的 中 间 节 点 通过 查看 自己 保有 的 路 由 表 来 决定 转发 的 路 径 ,直到 到 达 目 的 端 。 

除了 对 数据 格式 和 路 由 选择 的 精确 而 正式 的 定义 以 外 ,IP 还 包括 了 一 组 体现 了 不 可 
靠 , 分 组 传输 思想 的 规则 。 这 些 规则 指明 主机 和 路 由 器 应 该 如 何 处 理 分 组 , 何 时 及 如 何 发 出 
错误 信息 以 及 在 什么 情况 下 可 以 放弃 分 组 。 


6.1.1 IP 层 的 传输 特点 


IP 提供 的 是 不 可 靠 .无 连接 的 数据 包 传送 。 

不 可 靠 (unreliable) 的 意思 是 不 能 保证 IP 数据 报 能 成 功 地 到 达 目 的 地 。IP 仅 提 供 尽力 
传送 服务 ,负责 数据 的 路 由 与 传输 , 却 并 不 处 理 数据 包 的 内 容 。 每 经 过 一 个 系统 主机 或 路 由 
器 ,IP 都 会 检查 数据 包 , 如 果 数 据 包 出 现 了 问题 ,如 某 个 路 由 器 暂时 用 完了 缓冲 区 ,IP 有 一 
个 简单 的 错误 处 理 算 法 : 丢弃 该 数据 包 , 然 后 发 送 ICMP 消息 给 信 源 。 任 何 要 求 的 可 靠 性 
必须 由 上 层 来 提供 (如 TCP) 。 

如 果 出 现 的 问题 是 半 永 久 性 的 ,那么 IP 就 会 发 送 ICMP 差错 报 文 并 给 信 源 返回 一 个 错 
误 消息 ,以 便 让 发 送 者 修改 引起 失败 的 情况 ,然后 丢弃 该 数据 包 。 所 谓 半 永久 性 失败 ,是 指 
包 或 者 网 络 出 现 了 问题 ,导致 这 条 路 径 不 能 发 送 数 据 ,这 时 最 好 把 问题 告诉 发 送 者 ,以 便 纠 
正 错 误 。 如 果 这 个 数据 包 已 经 损坏 或 者 经 历 过 其 他 形式 的 暂时 性 失败 , 则 立即 丢弃 该 包 而 
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并 不 做 其 他 处 理 。 所 谓 损坏 或 暂时 性 失败 是 指 不 是 因为 发 送 者 的 错误 引起 的 ,如 校 验 和 计 

无 连接 (connection less) 这 个 术语 的 意思 是 IP 并 不 维护 任何 关于 后 续 数 据 报 的 状态 信 
息 。 每 个 数据 报 的 处 理 是 相互 独立 的 。 这 也 说 明 ,IP 数据 报 可 以 不 按 发 送 顺序 接收 。 

如 果 一 信 源 向 相同 的 信 宿 发 送 多 个 连续 的 数据 报 ,每 个 数据 报 都 会 独立 地 进行 路 由 选 
择 , 可 能 选择 不 同 的 路 线 , 这 样 某 些 数据 包 可 能 经 过 一 个 快速 传输 , 另 一 些 数 据 包 可 能 经 过 
一 个 慢 速 传 输 , 可 能 先 发 送 的 包 晚 到 达 , 即 数据 包 到 达 目 的 地 可 能 失 序 。 还 有 数据 包 可 能 会 
重复 , 某 些 包 可 能 有 多 个 拷贝 到 达 目 的 地 。 因 此 IP 首部 中 需要 设置 有 相应 信息 来 保证 正确 
处 理 这 些 问题 。 

另外 ,网 络 把 每 个 数据 包 都 看 作 是 单个 的 实体 ,自身 不 用 负责 跟踪 所 有 的 连接 ,这 样 网 
络 设备 可 以 专注 于 传输 数据 包 。 这 个 特性 使 得 整个 网 络 性 能 能 够 提高 到 硬件 允许 的 水 平 ， 
而 对 内 存 和 CPU 的 要 求 却 尽 可 能 的 低 。 


6.1.2 IP 数 据 报 格式 


IP 数据 报 ,也 称 为 IP 分 组 ,是 指 IP 层 传输 的 数据 单元 及 其 格式 ,同时 也 是 指 IP 层 的 无 
连接 数据 报 传输 机 制 和 无 连接 服务 。 这 两 者 之 间 是 密切 相关 的 ,数据 报 机 制 要 通过 数据 报 
格式 来 体现 ,而 数据 报 格式 也 要 在 数据 机 制 中 才 有 意义 。IP 数据 报 符合 典型 数据 分 组 的 一 
般 格 式 , 分 为 数据 报 报头 和 数据 区 两 部 分 ,具体 格式 如 图 6-1 所 示 。 














0 78 15 16 31 
版 本 | 首部 长 度 | ”8 位 服务 类 型 TOS 16 位 总 长 度 ( 字 节 数 ) 
16 位 标识 符 3 位 标志 | 13 位 片 偏 移 | 
8 位 生存 时 间 TTL 8 位 类 型 16 位 首部 检验 和 20 字 节 








32 位 源 IP 地 址 
32 位 目的 IP 地 址 
选项 (如 果 有 ) 
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图 6-1 IP 数 据 报 格式 


IP 数据 报 的 报头 也 常 称 为 IP 首部 ,由 20 个 字 节 固定 部 分 和 可 变 长 度 的 选项 部 分 构 
成 。IP 首部 的 各 个 字段 的 含义 如 下 。 

(1) 版 本 : 指 IP 协议 的 版 本 号 , 占 4 位 ,对 IPv4 来 说 ,这 个 值 总 是 4。 

(2) 首部 长 度 : 指 IP 数 据 报 的 首部 按 32 位 (4 字 节 ) 计 算 的 数值 ,包括 任何 选项 字 节 
数 , 占 4 位 , 取 值 范围 在 5 一 15。 普 通 IP 数据 报 (没有 任何 选项 时 ) 字 段 的 值 是 5, 即 20 字 节 
(5X4) 长 ,首部 最 长 为 60 个 字 节 (15X4) ,这 时 选项 部 分 有 数据 内 容 。 

(3) 服务 类 型 (Type of Service,TOS) : 为 应 用 程序 、 主 机 或 路 由 器 处 理 报 文 提供 一 个 
优先 级 服务 标志 。TOS 占 8 位 ,其 中 3 位 的 优先 权 子 字段 (现在 已 被 忽略 ) ,4 位 的 TOS 子 
字段 ,分 别 代表 最 小 时 延 . 最 大 吞吐 量 、 最 高 可 靠 性 和 最 小 费用 。4 位 中 只 能 置 位 其 中 1 位 
为 1。 如 果 所 有 4 位 均 为 0, 那么 就 意味 着 是 一 般 服 务 。1 位 未 用 位 且 须 置 0。 
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交互 应 用 ,如 Telnet 和 Rlogin, 要 求 最 小 的 传输 时 延 (主要 用 来 传输 少量 的 交互 数据 )， 
FTP 文件 传输 要 求 有 最 大 的 吞吐 量 ,而 网 络 管理 (SNMP) 和 路 由 选择 协议 要 求 有 最 高 可 
靠 性 。 

需要 注意 的 是 ,并 非 所 有 的 TCP/IP 实现 都 支持 TOS 特性 。 

(4) 总 长 度 : 指 整 个 IP 数据 报 以 字 节 为 单位 的 长 度 , 占 16 位 ,因此 IP 数据 报 最 长 可 达 
65 535 字 节 。 由 于 链 路 层 MTU 的 限制 , 较 长 的 IP 数据 报 会 被 分 片 。 当 数据 报 被 分 片 时 ， 
该 字段 的 值 也 随 着 变化 ,因为 该 值 只 是 表示 当前 IP 数据 报 的 长 度 。 实 际 上 ,大 量 使 用 UDP 
的 应 用 (RIP、TFTP、.BOOTP、DNS 及 SNMP) 都 限制 用 户 数据 报 长 度 为 512 字 节 。 另 外 这 
个 限制 对 TCP 基本 没有 作用 ,因为 TCP 几乎 总 是 要 分 段 传输 的 。 

IP 数 据 报 中 没有 数据 内 容 部 分 的 长 度 , 但 借助 报头 中 的 首部 长 度 , 可 以 很 容易 地 得 出 
数据 内 容 的 长 度 是 总 长 度 减 去 首部 长 度 。 

(5) 标识 符 : 唯一 地 标识 主机 发 送 的 每 一 份 数据 报 , 占 16 位 。 主 机 为 自己 发 送 的 IP 报 
文 设置 一 个 报 文 计数 器 ,通常 每 发 送 一 份 报 文 其 值 就 会 加 1。 标 识 符 字 段 通常 应 该 由 让 IP 
发 送 数 据 报 的 上 层 来 选择 。 

(6) 标志 : 说 明 IP 报 文 的 分 片 信息 和 控制 是 否 允 许 IP 报 文 分 片 , 占 3 位。 目前 只 有 后 
两 位 有 意义 。 标 志 字 段 的 最 低位 是 MF (More Fragment) ,为 1 表示 后 面 还 有 分 片 , 即 本 报 
文 不 是 分 片 报 文 的 最 后 一 个 分 片 ; 为 0 则 表示 本 报 文 是 最 后 一 个 分 片 。 标 志 字 段 中 间 的 一 
位 是 DF (Don't Fragment) ,只 有 当 DF 为 0 时 才 人 允许 分 片 。 

(7) 片 偏 移 : 本 片 在 原 分 组 中 的 相对 位 置 , 占 12 位 。 片 偏 移 以 8 个 字 节 为 偏 移 单位 , 指 
示 出 较 长 的 分 组 在 分 片 后 本 片 在 原 分 组 中 的 相对 位 置 。 

(8) 生存 时 间 TTL(time-to-live): 用 于 设置 数据 报 可 以 经 过 的 最 多 路 由 器 数 , 占 8 位 。 
TTL 的 初始 值 由 源 主机 设置 , 即 指定 了 数据 报 的 生存 时 间 ,推荐 的 TTL 初始 值 为 64。 一 
旦 经 过 一 个 处 理 报 文 的 路 由 器 ,TTL 的 值 就 减 1。 当 该 字段 的 值 为 0 时 ,数据 报 就 被 丢弃， 
并 发 送 ICMP 报 文 ,通知 源 主机 。 

(9) 类 型 : 也 叫 协议 字段 ,表示 向 IP 传送 数据 的 上 层 协议 , 占 8 位 。 类 型 字段 实质 上 是 
表示 IP 报 文 数据 区 数据 的 格式 ,例如 ,创建 IP 数据 的 高 层 协议 是 TCP 还 是 UDP。 类 型 代 
码 是 由 一 个 中 央 管 理 机 构 NIC(Network Information Center, 网 络 信息 中 心 ) 管 理 的 ,在 整 
个 Internet 的 范围 内 保持 一 致 。 需 要 指出 的 是 ,IP 首部 的 版 本 字段 指定 的 是 IP 报头 格式 ， 
属于 网 络 层 范 畴 ; 类 型 字段 指定 的 是 IP 数据 区 数据 的 格式 ,属于 传输 层 的 范畴 。 

(10) 首部 检验 和 : 首部 数据 的 二 进 制 反 码 求 和 , 占 16 位 。 检 验 和 不 对 首部 后 面 的 数据 
进行 计算 。 计 算 时 首先 把 检验 和 字段 置 为 0, 然 后 ,对 首部 中 每 个 16 位 进行 二 进 制 反 码 求 
和 (整个 首部 看 成 是 由 一 串 16 位 的 字 组 成 ) 。 

接收 方 在 收 到 IP 数据 报 后 对 首部 进行 检验 时 ,直接 对 首部 中 每 个 16 位 进行 二 进 制 反 
码 求 和 , 若 计算 结果 全 为 1, 则 说 明 首 部 在 传输 过 程 中 没有 发 生 任何 差错 ; 若 计算 结果 不 全 
为 1, 则 表明 检验 和 错误 ,那么 IP 就 丢弃 收 到 的 数据 报 ,但 是 不 生成 差错 报 文 。 

(11) 源 IP 地 址 和 目的 IP 地址: 每 一 份 IP 数据 报 都 包含 源 IP 地 址 和 目的 IP 地 址 , 它 
们 都 是 32 位 的 值 。 

(12) 选项 : IP 数据 报 中 的 一 个 可 变 长 的 可 选 信息 ,作为 附加 的 特殊 处 理 的 信息 域 ,以 
32 位 作为 界限 ,在 必要 时 插入 值 为 0 的 填充 字 节 ,保证 IP 首部 始终 是 32 位 的 整数 倍 。 
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选项 包括 安全 和 处 理 限 制 . 记 录 路 由 .时 间 戳 、 宽 松 的 源 站 选 路 严格 的 源 站 选 路 等 选 
项 ,其 用 法 和 报 文 格式 大 多 在 第 5 章 ping 程序 和 traceroute 程序 有 关 用 法 时 做 了 介绍 。 实 
际 上 选项 被 使 用 的 时 候 并 不 是 很 多 ,而 且 并 非 所 有 的 主机 和 路 由 器 都 支持 这 些 选项 。 

(13) 数据 : IP 数据 报 的 数据 部 分 ,长 度 由 首部 的 总 长 度 字 段 和 首部 长 度 字段 的 差 值 决 
定 。 通 常 包 含 一 个 完全 的 TCP 段 或 UDP 数据 报 , 也 可 以 包含 其 他 协议 的 报 文 , 如 ICMP 
报 文 。 

掌握 IP 首部 中 的 各 个 字段 ,对 理解 TCP/IP 协议 的 工作 原理 是 非常 重要 的 ,这 一 点 在 
前 面 学 习 ICMP 协议 的 工作 原理 中 已 有 体现 ,如 IP 选项 的 使 用 。 


6.; IP 路 由 选择 


IP 路 由 选择 是 IP 层 最 重要 的 功能 。 只 要 网 络 中 的 目的 主机 与 源 主机 不 是 直接 相连 或 
处 在 同一 个 共享 网 络 上 ,那么 IP 数据 报 就 不 能 直接 送 到 目的 主机 上 ,而 需要 由 路 由 器 来 转 
发 数据 报 。 通 常 主机 把 数据 报 发 往 一 个 默认 的 路 由 器 上 ,由 路 由 器 决定 怎样 转发 数据 报 。 

路 由 选择 就 是 指 网 络 中 的 每 个 节点 具有 以 最 佳 路 径 将 分 组 传送 到 目标 的 能 力 。 路 由 协 
议 及 不 同 的 路 由 算法 将 直接 影响 网 络 的 传输 效率 。 

网 络 中 的 任何 一 个 主机 的 IP 层 既 可 以 配置 成 路 由 器 的 功能 ,也 可 以 配置 成 主机 的 功 
能 。 只 要 IP 层 配置 为 具有 路 由 功能 , 则 要 把 数据 报 从 一 个 接口 转发 到 另 一 个 接口 。 为 确定 
转发 的 路 径 ,IP 层 在 内 存 中 有 一 个 路 由 表 。 当 收 到 一 份 数据 报 并 进行 发 送 时 , 它 都 要 对 路 
由 表 搜 索 一 次 。 当 数据 报 来 自 某 个 网 络 接口 时 ,IP 首先 检查 目的 IP 地 址 是 否 为 本 机 的 IP 
地 址 之 一 或 者 IP 广播 地 址 ,如 果 是 ,数据 报 就 被 送 到 由 IP 首部 协议 字段 所 指定 的 协议 模块 
进行 处 理 ; 如 果 数 据 报 的 目的 不 是 这 些 地 址 ,那么 如 果 IP 层 被 设置 为 路 由 器 的 功能 ,就 要 
对 数据 报 进行 转发 ; 否则 ,数据 报 被 丢弃 。 


6.2.1 路 由 表 及 维护 


路 由 表 记录 着 主机 或 路 由 器 转发 数据 的 路 径 信息 ,系统 产生 的 或 转发 的 每 份 IP 数据 报 
在 发 送 时 都 要 搜索 路 由 表 。 如 图 6-2 所 示 为 一 个 Linux 系统 主机 路 由 表 的 例子 。 


[rootemytest“]# route ~n 
Kernel IP routing table 
Destination ~ Gateway 
192.168.0.0 0.0.0.0 
169.254.0.0 2 0.0.0.0 
0.0.0.0 192.168.0.1 


Plags Metric Ref Use Iface 
Uv 0 0 0 eth0 
vv 0 0 0 eth0 
wo 0 0 0 eth0 





6-2 一 个 主机 路 由 表 的 例子 


主机 的 路 由 表 中 每 行为 一 条 路 由 记录 ,记录 有 目的 地 址 (Destination)、 转 发 的 网 关 
(Gateway) ,网 络 掩 码 (Genmask) ,路 由 标志 (Flags) .度量 值 (Metric) .正在 使 用 路 由 的 活动 
进程 个 数 (Ref) 该 路 由 被 使 用 的 次 数 (Use) 和 网 络 接口 (Iface) 。 

Gateway 如 果 显 示 0. 0. 0. 0, 表 示 该 路 由 是 直接 由 本 机 传送 , 亦 即 在 局 域 网 内 直接 传 
送 ; 如 果 有 显示 IP 的话, 表示 该 路 由 需要 经 过 路 由 器 转发 。 
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Flags 可 以 有 下 列 取 值 。 
。，U 该 路 由 可 以 使 用 。 
。G 该 路 由 是 到 一 个 网 关 ( 路 由 器 ), 即 本 路 由 是 一 个 间接 路 由 ,区 分 于 直接 路 由 。 
发 往 直 接 路 由 的 分 组 中 不 但 具有 目的 端的 IP 地 址 ,还 具有 其 链 路 层 地 址 ,而 发 往 一 
个 间接 路 由 的 分 组 中 IP 地 址 指明 的 是 最 终 目的 地 ,但 是 链 路 层 地 址 指明 的 是 网 关 。 

。 晶 该 路 由 是 到 一 个 主机 。 如 果 未 设置 该 标志 ,说 明 该 路 由 是 到 一 个 网 络 , 此 时 目 
的 地 址 应 该 是 一 个 网 络 地 址 , 即 一 个 网 络 号 或 网 络 号 与 子 网 号 的 组 合 。 

。D 该 路 由 是 由 重 定向 报 文 创建 的 。 

。 M 该 路 由 已 被 重 定向 报 文 修改 。 

路 由 表 的 生成 方法 有 很 多 ,通常 分 为 静态 配置 和 动态 路 由 协议 生成 两 类 。 对 应 的 ,路 由 
协议 也 有 静态 和 动态 之 分 。 静 态 路 由 是 一 种 特殊 的 路 由 ,需要 系统 管理 员 手 工 配 置 , 适 合 规 
模 简单 或 需要 精确 控制 的 网 络 路 由 设置 。 而 更 多 复杂 的 网 络 一 般 都 采用 动态 路 由 协议 来 动 
态 地 自动 生成 路 由 表 , 如 采用 RIP(Routing Information Protocol, 路 由 信息 协议 ) 或 OSPF 
(Open Shortest Path First, 开 放 最 短路 径 优先 )。 

在 路 由 器 或 主机 上 运行 路 由 守护 程序 (routing daemon) 来 维护 路 由 表 。 

决定 把 哪些 路 由 放 入 路 由 表 的 一 组 规则 称 为 选 路 策略 (routing policy)。 路 由 守护 程序 
一 般 提供 选 路 策略 。 

路 由 表 可 以 通过 ICMP 路 由 器 发 现 报 文 来 初始 化 默认 表 项 ,也 可 被 ICMP 重 定向 报 文 
来 进行 修改 ,还 可 用 route 命令 进行 静态 路 由 修改 。 

主机 路 由 表 的 复杂 性 取决 于 主机 所 在 网 络 的 拓扑 结构 。 最 简单 的 情况 是 主机 根本 没有 
与 任何 网 络 相连 ,此 时 路 由 表 只 包含 环 回 接口 一 项 ; 若是 主机 连 在 一 个 局 域 网 上 ,只 能 访问 
局 域 网 上 的 主机 ,这 时 路 由 表 包 含 两 项 : 一 项 是 环 回 接口 , 另 一 项 是 局 域 网 (如 以 太 网 ); 如 
果 主 机 能 够 通过 单个 路 由 器 访问 其 他 网 络 ( 如 Internet) 时 ,那么 一 般 情况 下 增加 一 个 默认 
表 项 指向 该 路 由 器 ; 如 果 要 新 增 其 他 的 特定 主机 或 网 络 路 由 ,那么 路 由 表 会 更 加 复杂 。 


6.2.2 IP 选 路 机 制 


IP 路 由 选择 是 逐 跳 地 (hop-by-hop) 进 行 的 。 除 了 那些 与 主机 直接 相连 的 目的 主机 ,路 
由 表 中 并 没有 到 达 任 何 目的 主机 的 完整 路 径 ,所 有 的 IP 路 由 选择 只 为 数据 报 传输 提供 下 一 
站 路 由 器 的 IP 地址 。IP 总 是 假定 下 一 站 路 由 器 比 发 送 数据 报 的 主机 更 接近 目的 ,而 且 下 
一 站 路 由 器 与 该 主机 是 直接 相连 的 。 

IP 层 进 行 的 选 路 ,实际 上 是 一 种 选 路 机 制 (routing mechanism), 即 搜索 路 由 表 并 决定 
向 哪个 网 络 接口 发 送 分 组 。IP 按 下 列 顺序 搜索 路 由 表 来 决定 转发 路 径 。 

(1) 搜索 匹配 的 主机 地 址 。 寻 找 能 与 目的 IP 地址 完全 匹配 的 表 目 (网 络 号 和 主机 号 都 
要 匹配 ) ,这 样 的 路 由 记录 也 叫 特定 主机 路 由 。 如 果 找 到 , 则 把 报 文 发 送 给 该 表 目 指定 的 下 
一 站 路 由 器 或 直接 连接 的 网 络 接口 (取决 于 标志 字段 的 值 ) 。 

(2) 搜索 匹配 的 网 络 地 址 。 寻 找 能 与 目的 网 络 号 相 匹 配 的 表 目 (间接 交付 或 直接 交 
付 ) 。 如 果 找 到 , 则 把 报 文 发 送 给 该 表 目 指定 的 下 一 站 路 由 器 或 直接 连接 的 网 络 接口 (取决 
于 标志 字段 的 值 )。 目 的 网 络 上 的 所 有 主机 都 可 以 通过 这 个 表 目 来 处 置 。 例 如 ,一 个 以 太 网 
上 的 所 有 主机 都 是 通过 这 种 表 目 进行 寻 径 的 。 需 要 注意 的 是 ,这 种 搜索 网 络 的 匹配 方法 必 
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须 考 虑 可 能 的 子 网 掩 码 。 

(3) 搜索 默认 路 由 。 寻 找 标 为 “默认 (default)” 的 表 目 (默认 路 由 )。 如 果 找 到 , 则 把 报 
文 发 送 给 该 表 目 指定 的 下 一 站 路 由 器 。 

(4) 如 果 路 由 表 中 没有 默认 项 ,而 又 没有 找到 匹配 项 ,这 时 如 果 数 据 报 是 由 本 地 主机 产 
生 的 ,那么 就 给 发 送 该 数据 报 的 应 用 程序 返回 一 个 差错 ,或 者 是 “主机 不 可 达 差 错 ”, 或 者 是 
“网 络 不 可 达 差 错 ”, 但 不 同 的 操作 系统 在 实现 上 可 能 会 有 不 同 的 处 理 。 如 果 是 被 转发 的 数 
据 报 ,也 就 是 在 路 由 器 上 ,那么 就 给 原始 发 送 端 发 送 一 份 ICMP 主机 不 可 达 的 差错 报 文 ,也 
就 是 ICMP 差错 类 型 为 3 代码 为 0 或 1 的 报 文 。ICMP 目的 不 可 达 报 文 的 格式 和 基本 工作 
过 程 在 第 5 章 已 作 介绍 。 

IP 层 在 执行 选 路 机 制 时 ,总 是 把 完整 主机 地 址 匹配 在 网 络 号 匹配 之 前 执行 ,只 有 当 它 
们 都 失败 后 , 才 选 择 默认 路 由 。 默 认 路 由 以 及 下 一 站 路 由 器 发 送 的 ICMP 差错 报 文 (如 果 为 
数据 报 选择 了 错误 的 默认 路 由 ) ,是 IP 路 由 选择 机 制 中 功能 强大 的 特性 。 

为 一 个 网 络 指定 一 个 路 由 器 ,而 不 必 为 每 个 主机 指定 一 个 路 由 器 ,这 是 IP 路 由 选择 机 
制 的 另 一 个 基本 特性 。 这 样 做 可 以 极 大 地 缩小 路 由 表 的 规模 。 


6.3 动态 选 路 协议 


按 生成 路 由 表 方 法 可 以 把 路 由 协议 分 为 静态 和 动态 的 两 类 。 静 态 选 路 就 是 在 配置 接口 
时 ,以 默认 的 方式 生成 路 由 表 项 ,并 通过 route 命令 来 增加 表 项 ,或 通过 ICMP 报 文 来 更 新 
表 项 (通常 在 默认 方式 出 错 的 情况 下 ) 。 

在 动态 选 路 中 ,管理 员 不 再 需要 像 静 态 路 由 那样 对 路 由 表 进 行 手工 维护 ,而 是 在 每 台 路 
由 器 上 运行 一 个 路 由 表 的 管理 程序 。 这 个 路 由 表 的 管理 程序 就 是 动态 选 路 协议 的 路 由 守护 
进程 。 这 个 路 由 守护 进程 会 根据 路 由 器 上 的 接口 配置 ,如 IP 地 址 的 配置 以 及 所 连接 电路 的 
状态 ,生成 路 由 表 中 的 路 由 表 项 。 

简单 地 说 , 相 邻 路 由 器 之 间 进 行 通信 ,以 告知 对 方 每 个 路 由 器 当前 所 连接 的 网 络 , 这 就 
是 动态 选 路 。 动 态 选 路 有 以 下 特征 。 

(1) 不 改变 选 路 机 制 : 仍然 是 按 3 个 优先 级 进行 (主机 、 网 络 、 默 认 路 由 ) 。 

(2) 改变 选 路 策略 : 路 由 项 目 由 路 由 守护 程序 动态 地 增加 或 删除 ,而 不 是 用 route 命令 
来 产生 。 

(3) 动态 选 路 由 路 由 守护 程序 来 完成 。 

采用 动态 选 路 协议 管理 路 由 表 在 大 规模 网 络 中 十 分 有 效 。 像 Internet 这 样 的 系统 中 ， 
采用 了 多 种 不 同 的 选 路 协议 。Internet 是 以 一 组 自治 系统 (Autonomous System,AS) 方 式 
来 组 织 的 ,每 个 自治 系统 通常 由 单个 实体 管理 ,采用 统一 的 路 由 策略 。 通 常 可 以 将 一 个 公司 
或 大 学 校园 定义 为 一 个 自治 系统 。 每 个 自治 系统 可 以 选择 该 自治 系统 中 各 个 路 由 器 之 间 的 
选 路 协议 ,这 种 协议 称 为 IGP(Interior Gateway Protocol, 内 部 网 关 协 议 )。 最 常用 的 IGP 
是 路 由 信息 协议 RIP 和 开放 最 短路 径 优先 OSPF 协议 。 不 同 自治 系统 之 间 采 用 的 选 路 协 
议 称 为 EGP(Exterior Gateway Protocol, 外 部 网 关 协 议 ),Internet 上 使 用 最 多 的 EGP 是 
BGP(Border Gateway Protocol, 边 界 网 关 协 议 )。 本 书 只 介绍 内 部 网 关 协 议 。 
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6.3.1 RIP 协 议 


RIP 是 最 广泛 使 用 的 动态 选 路 协议 ,协议 采用 距离 向 量 算法 。 


距离 向 量 算法 即 相 邻 的 路 由 器 之 间 互 相交 换 整 个 路 由 表 , 并 进行 矢量 的 又 加 ,最 终 获 得 


整个 网 络 的 路 由 信息 。 


RIP 以 跳 数 (hop count) 作 为 路 由 器 之 间距 离 的 度量 ,所 有 直接 连接 接口 的 跳 数 为 1 。 
每 增加 一 个 路 由 器 ,可 达到 的 网 络 跳 数 加 1。 为 限制 路 由 收敛 的 时 间 ,RIP 规定 跳 数 取 值 为 
0 一 15, 大 于 等 于 16 的 跳 数 表示 目的 不 可 达 。 用 跳 数 作为 路 由 度量 ,忽略 了 其 他 一 些 应 该 考 
虑 的 因素 ,使 得 RIP 的 实现 得 以 简化 。 同 时 ,度量 最 大 值 为 15 限制 了 网 络 的 大 小 ,使 得 RIP 


只 适用 小 型 网 络 。 


RIP 有 两 个 版 本 ,RIP v1( 定 义 在 RFC 1058) 和 RIP v2( 定 义 在 RFC 2453)。RIP v2 相 


比 RIP v1, 增 加 了 对 变 长 子 网 的 


支持 。 


RIP 报 文 包含 在 UDP 数据 报 中 ,RIP 常用 的 UDP 端口 号 是 520。RIP vl 报 文 格式 如 
图 6-3 所 示 , 其 中 各 个 字段 的 含义 如 下 。 
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命令 (1-6) | 


版 本 (1) 


(必须 为 0) 





地 址 系列 (2) 





(必须 为 0) 














度量 (1~16) 








(最 多 可 有 24 个 其 他 路 由 ,与 前 20 字 节 具 有 相同 的 格式 ) 


图 6-3 ”RIP vl 报 文 格式 





(1) 命令 字段 : 可 以 取 值 1 一 6, 用 以 表示 报 文 的 类 型 ,有 以 下 两 个 取 值 。 


““1”: 为 RIP 请 求 ,表示 要 求 其 他 系统 发 送 其 全 部 或 部 分 路 由 表 。 


。“2”: 为 RIP 应 答 ,包含 发 送 者 全 部 或 部 分 路 由 表 。 
(2) 版 本 字段 : 通常 为 1, 而 RIP v2 中 将 此 字段 设置 为 2。 
(3) 地 址 系列 : 对 于 IP 地 址 系列 取 值 为 2; 对 于 特殊 的 请 求 , 则 地 址 系列 的 值 为 “0”。 
(4) IP 地 址 : 目的 地 的 32 位 IP 地 址 。 
(5) 度量 : 去 往 目的 地 的 跳 数 ,16 表示 无 限 远 , 即 不 可 达 。 
从 图 6-3 中 可 以 看 到 ,每 一 条 RIP 路 由 信息 采用 20 字 节 格式 。 这 样 ,一 个 RIP 报 文 可 
以 通告 最 多 25 条 路 由 信息 。 上 限 25 是 用 来 保证 RIP 报 文 的 总 长 度 为 20X25 十 4 一 504, 小 
于 512 字 节 。 这 是 因为 RIP 由 UDP 传输 ,而 许多 UDP 应 用 程序 在 设计 中 都 采用 小 于 512 


字 节 的 数据 部 分 。 


如 果 路 由 表 中 数据 较 多 ,由 于 每 个 报 文 最 多 携带 25 条 路 由 ,因此 为 了 发 送 整 个 路 由 表 ， 


经 常 需要 多 个 报 文 。 
RIP 运行 过 程 如 下 。 


第 6 章 “IP 协 议和 IP 选 路 协议 


(1) 初始 化 : 在 启动 一 个 路 由 守护 程序 时 , 它 先 判断 启动 了 哪些 接口 ,并 在 每 个 接口 上 
发 送 一 个 RIP 请 求 报 文 ,要 求 其 他 路 由 器 发 送 完整 路 由 表 。 车 网 络 支持 广播 的 话 ,这 种 请 
求 是 以 广播 形式 发 送 的 。 请 求 报 文 的 命令 字段 为 1, 地址 系列 字段 设置 为 0, 度量 字段 设置 
为 16。 

(2) 在 网 络 上 运行 RIP 的 路 由 器 ,如 果 接 收 到 这 个 特殊 请 求 , 就 将 完整 的 路 由 表 发 送 给 
请 求 者 。 如 果 是 其 他 请 求 , 则 对 有 连接 到 指明 地 址 的 路 由 将 度量 设置 成 自己 的 值 ,否则 将 度 
量 置 为 16 ,表示 没有 到 达 目 的 的 路 由 ,然后 发 回响 应 。 

(3) 接收 到 响应 的 路 由 器 ,可 能 会 更 新 路 由 表 ( 含 增 、 删 、 改 路 由 表 项 )。 定 期 选 路 更 新 
是 指 : 每 过 30 秒 ,所 有 或 部 分 路 由 器 将 其 完整 路 由 表 发 送 给 相 邻 路 由 器 。 而 当 有 一 条 路 由 
的 度量 发 生变 化 时 , 则 不 需要 发 送 完整 路 由 表 , 而 只 发 送 那些 发 生变 化 的 表 项 ,这 叫 触 发 
更 新 。 

(4) RIP 为 路 由 表 中 的 每 条 路 由 都 建立 一 个 定时 器 ,如 果 发 现 一 条 路 由 在 180 秒 内 未 
更 新 ,就 将 该 路 由 的 度量 设置 成 无 穷 大 (16) ,并 标注 为 删除 。 再 过 60 秒 ,将 从 本 地 路 由 表 中 
删除 该 路 由 。 

RIP v2 利用 RIP 报 文 中 一 些 标注 为 “必须 为 0 的 字段 ,传递 一 些 额外 的 信息 。 加 入 了 
路 由 域 路 由 标记 等 信息 ,还 可 以 支持 简单 认证 信息 。 最 主要 的 是 增加 子 网 掩 码 应 用 于 相应 
的 IP 地址 上 ,用 下 一 站 或 IP 地 址 指明 发 往 目的 IP 地 址 的 报 文 该 发 往 何 处 。 

不 带 认 证 信息 的 RIP v2 报 文 格式 如 图 6-4 所 示 。 下 面 简 单 说 明 不 同 于 RIP v1 的 各 
个 域 。 
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命令 (1-6) 版 本 2) | 选 路 域 
地 址 系列 (2) | 网 络 的 路 由 标记 
32 位 网 络 IP 地 址 
32 位 网 络 子 网 掩 码 20 字 节 
32 位 网 络 下 一 跳 1P 地 址 
度量 (1~16) | 
(最 多 可 有 24 个 其 他 路 由 ,与 前 20 字 节 具 有 相同 的 格式 ) 











6-4 无 认证 的 RIP v2 报 文 格式 


(1) 选 路 域 : 是 选 路 守护 程序 的 标识 符 ,可 以 是 选 路 守护 程序 的 进程 号 。 该 域 允许 管 
理 员 在 单个 路 由 器 上 运行 多 个 RIP 实例 ,每 个 实例 在 一 个 选 路 域内 运行 。 

(2) 网 络 的 路 由 标记 : 是 为 了 支持 外 部 网 关 协 议 而 存在 的 ,通常 是 一 个 EGP( 外 部 网 关 
协议 ) 和 BGP( 边 界 网 关 协 议 ) 的 自治 系统 号 。 

(3) 网 络 子 网 掩 码 : 应 用 于 相应 的 网 络 IP 地 址 上 。 

(4) 网 络 下 一 跳 IP 地 址 : 指明 发 往 目 的 IP 地 址 的 报 文 该 发 往 何 处 。 该 字段 为 0, 意 味 
着 发 往 目 的 地 址 的 报 文 应 该 发 给 发 送 RIP 报 文 的 系统 。 

RIP v2 提供 了 一 种 简单 的 认证 或 鉴别 机 制 。 采 用 认证 的 RIP 报 文中 ,20 字 节 的 路 由 
记录 里 指定 地 址 系列 取 值 为 0xFFFF; 路 由 标记 取 值 为 2, 表明 认证 类 型 为 明文 认证 ; 其 余 
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16 字 节 包含 一 个 明文 口令 。 如 果 口 令 的 长 度 不 足 16 字 节 ,用 0 填充 。RFC 2082 描述 了 采 
用 MD5 密 文 认证 的 RIP v2。 


6.3.2 ”OSPF 协议 


OSPF 是 除 RIP 外 的 另 一 个 内 部 网 关 协 议 ,RFC 2328 对 第 二 版 的 OSPF 进行 了 描述 。 
与 采用 距离 向 量 的 RIP 协议 不 同 的 是 ,OSPF 是 一 个 链 路 状态 协议 ,因而 克服 了 RIP 的 所 
有 限制 。OSPF 在 实现 上 直接 使 用 IP 协议 ,而 不 再 使 用 传输 层 协议 ,如 UDP。 

OSPF 是 一 个 链 路 一 状态 协议 ,每 个 路 由 器 测试 与 其 相 邻 站 点 相连 链 路 的 状态 ,并 将 这 
些 信息 用 LSA(Link State Advertisement, 链 路 状态 通告 ) 发 送 给 它 的 其 他 相 邻 站 点 ,而 相 
邻 站 点 再 将 这 些 信 息 在 自治 系统 中 以 泛 洪 方式 传播 出 去 。 链 路 状态 包括 路 由 器 链 路 的 端口 
地 址 、 网 络 掩 码 .此 链 路 互 连 的 网 络 及 网 络 类 型 等 , 它 构 成 了 路 由 器 的 链 路 状态 数据 库 ,是 路 
由 器 进行 路 由 决策 的 主要 依据 。 每 个 路 由 器 接收 这 些 链 路 状态 信息 ,并 将 这 些 状态 信息 写 
和 人 到 一 个 链 路 状态 数据 库 (Link State Database,LSDB) 中 。 当 一 个 区 域 的 网 络 拓扑 结构 发 
生变 化 时 ,LSDB 就 会 被 更 新 。 每 10 秒 钟 评估 一 次 LSDB, 如 果 区 域 的 拓扑 结构 没有 改变 ， 
LSDB 也 就 不 做 任何 改动 。 

OSPF 通过 广播 (为 减少 网 络 负担 ,实际 采用 的 是 多 播 ) 在 路 由 器 之 间 交 换 链 路 状态 更 
新 信息 。 任 何 链 路 状态 的 改变 ,都 将 突 发 广播 到 网 络 中 的 所 有 路 由 器 。 为 提高 效率 ,引入 了 
区 域 的 概念 。 采 用 将 一 个 网 络 自治 域 划分 为 若干 个 区 域 , 链 路 状态 的 突 发 广播 和 路 由 计算 
被 限制 在 一 个 区 域 中 ,同一 个 区 域 的 所 有 路 由 器 有 着 相同 的 链 路 状态 数据 库 。 多 个 区 域 中 
有 一 个 区 域 被 定义 为 骨干 域 ,位 于 其 他 区 域 的 中 央 且 和 其 他 区 域 都 有 物理 链 路 直接 相连 。 
当 其 他 区 域 网 络 路 由 发 生变 化 时 ,通过 骨干 域 进 行 广播 ,完成 整个 自治 域内 的 路 由 更 新 。 同 
时 ,属于 多 个 区 域 的 路 由 器 就 是 域 边界 路 由 器 ,负责 在 区 域 之 间 传 播 链 路 状态 。 

网 络 中 的 路 由 器 各 自 建立 描述 网 络 结构 的 OSPF 链 路 状态 数据 库 , 然 后 每 个 路 由 器 根 
据 数据 库 ,按照 链 路 权 值 的 大 小 ,以 自身 为 根 建立 起 最 短路 径 树 。 查 找 最 短路 径 树 ,获得 最 
短路 径 , 建 立 起 路 由 表 。 然 后 , 域 边界 路 由 器 向 骨干 域 广播 路 由 表 , 从 而 广播 到 整个 自治 域 。 

OSPF 报 文 直接 封装 在 IP 报 文中 (IP 首部 协议 类 型 是 89) ,由 首部 和 不 同 的 数据 部 分 
构成 。OSPF 的 报 文 首部 长 度 为 24 字 节 ,格式 如 图 6-5 所 示 。 
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版 本 号 | ”类 型 报 文 长 度 
路 由 器 ID | 
区 域 ID 
校 验 和 鉴别 类 型 站 
鉴别 ( 字 节 0-3) 
鉴别 ( 字 节 4-7) | 
数据 (不 同类 型 的 OSPF 报 文 有 不 同 的 格式 ) 








6-5 OSPF 报 文 首部 格式 


首部 各 个 字段 的 含义 说 明 如 下 。 
(1) 版 本 号 : 当前 广泛 实现 的 版 本 是 OSPF v2, 值 为 2。 
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(2) 类 型 : OSPF 报 文 的 类 型 。 数 值 从 1 到 5,OSPF 报 文 类 型 如 表 6-1 所 示 。 
表 6-1 OSPF 报 文 类 型 





类 型 值 类 型 名 称 描 述 
1 Hello 用 于 定位 邻居 路 由 器 
2 DD(Database Description) 数据 库 描述 ,用 于 发 送 数据 库 摘要 
3 LSR(Link State Request) 链 路 状态 请 求 ,用 于 请 求 链 路 状态 数据 库 信息 
4 LSU(Link State Update) 链 路 状态 更 新 ,用 于 向 其 他 网 络 发 送 LSA 
5 LSAck(Link State Acknowledge) 链 路 状态 确认 ,用 于 应 答 接收 到 链 路 状态 信息 


(3) 报 文 长 度 : 包括 报 文 头 在 内 的 OSPF 报 文 总 长 度 ,单位 为 字 节 。 

(4) 路 由 器 ID: 始 发 该 LSA 的 路 由 器 的 ID,4 字 节 IP 地 址 。 

(5) 区 域 ID: 始 发 LSA 的 路 由 器 所 在 的 区 域 ID,4 字 节 IP 地 址 。 

(6) 校 验 和 : 整个 报 文 的 校 验 和 , 占 16 位 。 

(7) 鉴别 类 型 : 也 叫 认 证 类 型 ,可 分 为 不 认证 ,简单 (明文 ) 口 令 认 证 和 MD5 认证 ,其 值 
分 别 为 0、1、2。 

(8) 鉴别 : 其 数值 根据 鉴别 类 型 而 定 ,8 字 节 。 当 鉴别 类 型 为 0 时 ,未 作 定义 ; 类 型 为 
1 时 ,此 字段 为 密码 信息 ; 类 型 为 2 时 ,此 字段 包括 Key ID、MD5 认证 数据 长 度 和 序列 号 的 
信息 。 

OSPF 报 文 的 数据 部 分 视 类 型 不 同 而 不 同 ,而 不 同类 型 的 报 文 又 和 OSPF 不 同 的 工作 
阶段 有 关 。OSPF 协议 工作 过 程 主要 有 4 个 阶段 : 寻找 邻居 、 建 立 邻 接 关 系 、 链 路 状态 信息 
传递 和 计算 路 由 。 

路 由 器 周期 性 地 发 送 Hello 报 文 到 区 域 中 , 报 文中 包含 路 由 器 邻居 信息 ,并 携带 路 由 器 
优先 级 ,优先 级 为 0 的 路 由 器 不 具备 选举 资格 。 区 域 中 先 选举 BDR (Back Designed 
Router, 备 份 指定 路 由 器 ) ,再 选举 DR(Designed Router ,指定 路 由 器 )。DR 和 BDR 一 旦 选 
定 ,区 域 里 的 其 他 路 由 器 就 可 以 和 DR 或 BDR 交换 链 路 状态 了 。 

各 类 OSPF 报 文 数据 部 分 的 具体 内 容 请 读者 结合 本 章 实验 做 进一步 的 学 习 , 这 里 不 再 
歼 述 。 


6.4 IP 分 片 与 路 径 MTU 发 现 


6.4.1 IP 分 片 


尽管 IP 报 文 的 最 大 长 度 可 以 支持 到 65 535 字 节 ,但 物理 网 络 层 一 般 要 限制 每 次 发 送 
数据 帧 的 最 大 长 度 , 即 要 受 链 路 层 最 大 传输 单元 MTU 的 约束 。 任 何 时 刻 ,IP 层 接收 到 一 
份 要 发 送 的 IP 数据 报时 ,要 把 数据 报 长 度 与 发 送 接口 的 MTU 进行 比较 。 如 果 超 过 MTU， 
则 需要 进行 分 片 。 

两 台 主机 之 间 的 通信 要 通过 多 个 网 络 ,那么 每 个 网 络 的 链 路 层 就 可 能 有 不 同 的 MTU。 
重要 的 是 两 台 通信 主机 路 径 中 的 最 小 MTU , 称 为 路 径 MTU(Path MTU,PMTU)。 

当 IP 数据 报 被 分 片 后 ,每 一 片 都 成 为 一 个 分 组 ,具有 自己 的 IP 首部 ,并 在 选择 路 由 时 
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与 其 他 分 组 独立 。 这 样 , 当 数 据 报 的 这 些 分 片 到 达 目 的 端 时 ,有 可 能 会 失 序 。 

分 片 以 后 ,只 有 到 达 目 的 地 才 进行 重新 组 装 。 重 新 组 装 由 目的 端的 IP 层 来 完成 。IP 
首部 中 的 标识 符 可 以 唯一 地 标识 主机 发 送 的 每 一 份 IP 数据 报 , 即 使 在 分 片 后 这 些 IP 报 文 
也 具有 相同 的 标识 符 , 以 表明 它们 来 自 同一 个 IP 数据 报 ,而 片 偏 移 则 指示 出 较 长 的 分 组 在 
分 片 后 本 片 在 原 分 组 中 的 相对 位 置 。 所 以 .有 足够 的 信息 ,让 接收 端 能 正确 地 组 装 这 些 数 据 
报 片 。 

分 片 可 以 发 生 在 原始 发 送 端 主机 上 ,也 可 以 发 生 在 中 间 路 由 器 上 。 发 生 在 中 间 路 由 器 
的 分 片 源 端 是 无 法 知晓 的 ,而 且 已 经 分 片 过 的 数据 报 有 可 能 会 再 次 分 片 (可 能 不 止 一 次 )。 
事实 上 ,如 果 对 数据 报 分 片 的 是 中 间 路 由 器 ,而 不 是 原始 发 送 端 系统 ,那么 原始 发 送 端 系统 
就 无 法 知道 数据 报 是 如 何 被 分 片 的 。 就 是 因为 这 个 原因 ,经 常 要 避免 分 片 。 

分 片 有 可 能 引起 网 络 通信 效能 的 下 降 , 因 为 分 片 引 起 的 最 直接 的 问题 是 : 即使 一 个 数 
据 片 出 错 ,也 要 重 传 整个 数据 报 。 

IP 层 本 身 无 超时 重 传 的 机 制 ,而 只 能 由 更 高 层 来 负责 超时 和 重 传 。 如 上 层 协议 是 
TCP, 如 果 某 个 TCP 段 的 数据 丢失 了 ,TCP 在 超时 后 会 重 发 整个 TCP 报 文 段 ,该 报 文 段 对 
应 于 整个 IP 数据 报 。 如 果 是 IP 层 数据 分 片 后 丢失 了 某 一 片 ,无 法 只 重 传 IP 数据 报 中 的 某 
一 个 数据 报 片 ,只 能 重新 传送 整个 所 有 的 数据 报 。 如 果 上 层 是 UDP, 则 还 需要 由 应 用 层 来 
解决 重 传 的 问题 。 因 此 ,要 防止 丢失 某 一 片 而 重 传 整个 IP 报 文 的 情况 出 现 , 最 好 的 办 法 就 
是 上 层 交 给 IP 的 数据 不 要 太 长 ,以 至 于 超过 路 径 MTU 。 

因此 ,应 用 程序 必须 关心 IP 数据 报 的 长 度 , 如 果 它 超过 网 络 的 路 径 MTU ,那么 就 会 导 
致 IP 数据 报 分 片 。 防 止 分 片 对 提高 网 络 通信 效率 是 有 意义 的 。 

现代 IP 网 络 通过 以 下 方法 避免 路 由 器 对 IP 报 文 进行 分 片 。 

。 发 送 基于 UDP 的 通信 时 ,将 UDP 消息 的 最 大 值 设 置 为 足够 小 ,以 防止 IP 路 由 器 进 

行 分 片 。 
。 发送 基于 TCP 的 通信 时 .将 IP 报头 中 的 “不 分 片 ”DF) 标 记 设 置 为 1, 阻 止 IP 路 由 
器 对 TCP 数据 段 进行 分 片 。 

当 TCP 对 等 方 建立 TCP 连接 时 ,它们 会 交换 各 自 的 TCP 最 大 段 的 值 (Maximum 
Segment Size, MSS) 并 据 此 来 建立 TCP 连接 ,这 其 实 是 一 种 路 径 MTU 发 现 。 以 前 ,主机 的 
MSS 值 是 MTU 减 去 用 于 IP 和 TCP 报头 的 40 字 节 (为 了 支持 额外 的 TCP 选项 ,如 可 选 确 
认 , 典 型 的 TCP 和 了 JP 报头 可 增 至 52 字 节 或 更 多 字 节 ) 。 


6.4.2 路 径 MTU 发 现 


IP 首部 中 对 分 片 的 控制 由 标志 字段 中 间 的 一 位 DF(Don't Fragment) 来 控制 。 只 有 当 
DF 为 0 时 , 才 允 许 分 片 ; DF 为 1, 则 禁止 分 片 。 

当 路 由 器 转发 IP 报 文 时 ,车 DF 为 1 而 数据 报 长 度 又 超过 MTU , 则 路 由 器 会 把 数据 报 
丢弃 并 发 送 一 个 ICMP 需要 分 片 但 设置 了 禁止 分 片 标志 比特 的 差错 报 文 (ICMP 类 型 3, 代 
码 4) 给 信 源 ,差错 报 文 格式 如 图 6-6 所 示 。 

报 文中 * 下 一 站 网 络 的 MTU” 字 段 用 以 通知 信 源 发 生 ICMP 差错 的 路 由 器 转发 链 路 的 
MTU 是 多 少 , 以 便 信 源 进行 相应 的 处 理 。 

实际 网 络 工程 中 ,路 由 器 可 以 有 以 下 几 种 处 理 方式 。 
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图 6-6 ICMP 需要 分 片 差错 报 文 


(1) 发 送 符合 RFC 792 中 最 初 定义 的 “ICMP Destination Unreachable-Fragmentation 
Needed and DF Set” 消 息 , 然 后 丢弃 该 包 。 原 始 消 息 格式 中 不 包含 有 关 转 发 失败 的 链 路 的 
MTU 的 信息 , 则 图 6-6 中 “下 一 站 网 络 的 MTU? 置 为 0。 

(2) 发 送 符合 RFC 1191 中 重新 定义 的 *ICMP Destination Unreachable-Fragmentation 
Needed and DF Set” 消 息 , 然 后 丢弃 该 包 。 此 新 消息 格式 包含 一 个 MTU 字段 ,可 指出 转发 
失败 的 链 路 的 MTU, 即 如 图 6-6 所 示 格 式 的 报 文 。 

(3) 直接 丢弃 报 文 , 不 做 任何 其 他 处 理 。 直 接 丢 弃 需 分 片 但 DF 标志 设置 为 1 的 报 文 的 
路 由 器 称 为 PMTU 黑洞 路 由 器 。 

RFC 1191 定义 了 路 径 MTU(PMTU) 发 现 , 它 使 得 成 对 的 TCP 对 等 方 能 动态 地 发 现 
二 者 之 间 路 径 的 MTU, 从 而 发 现 该 路 径 的 TCP MSS。 一 旦 收 到 符合 RFC 1191 定义 的 
“Destination Unreachable-Fragmentation Needed and DF Set” 消 息 ,TCP 就 会 将 该 连接 的 
MSS 调整 为 指定 MTU 减 去 TCP 和 1IP 报头 的 大 小 。 这 样 ,在 该 TCP 连接 上 发 送 的 后 续 包 
就 不 会 超过 最 大 值 ,无 须 分 片 即 可 在 该 路 径 上 传输 。 

通过 修改 Traceroute 程序 或 者 利用 ping 程序 的 参数 ,可 以 实现 路 径 MTU 发 现 。 实 验 6-4 
给 出 了 有 关内 容 。 发 送 的 第 一 个 分 组 的 长 度 正好 与 出 口 MTU 相等 ,每 次 收 到 ICMP” 需 要 
分 片 但 设置 了 禁止 分 片 ”差错 时 就 减 小 分 组 的 长 度 。 如 果 路 由 器 发 送 的 ICMP 差错 报 文 是 
新 格式 ,包含 出 口 的 MTU, 那 么 就 用 该 MTU 值 来 发 送 ; 否则 ,就 用 下 一 个 最 小 的 MTU 值 

利用 路 径 MTU 发 现 机 制 ,应 用 程序 就 可 以 采用 尽 可 能 大 的 MTU 来 发 送 报 文 。 


6.5 小 结 


(1) IP 协议 是 TCP/IP 协议 族 中 最 核心 的 协议 ,IP 的 基本 功能 是 为 数据 报 选 路 。 

(2) IP 提供 的 是 不 可 靠 、 无 连接 的 数据 包 传送 。 

(3) IP 首部 中 记录 着 IP 数据 报 传输 需要 的 控制 信息 ,掌握 各 个 字段 的 内 容 和 含义 对 理 
解 TCP/IP 协议 的 工作 原理 非常 重要 。 

(4) 网 络 中 的 任何 一 个 主机 的 IP 层 都 可 以 配置 为 具有 路 由 器 的 功能 ,路 由 器 通过 搜索 
路 由 表决 定数 据 包 的 转发 路 径 , 路 由 表 则 记录 着 主机 或 路 由 器 转发 数据 的 路 径 信息 。 

(5) 路 由 表 的 生成 方法 有 静态 和 动态 两 类 ,对 应 的 把 路 由 协议 分 为 静态 和 动态 路 由 协 
议 。 通 常 静态 路 由 可 以 用 route 命令 手工 设置 。 

(6) 在 路 由 器 或 主机 上 ,运行 路 由 守护 程序 来 维护 路 由 表 , 即 路 由 守护 程序 执行 选 路 策 
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略 决定 把 哪些 路 由 放 和 路 由 表 。IP 层 执行 选 路 机 制 , 即 决定 如 何 使 用 路 由 表 进 行 选 路 。 选 
路 机 制 总 是 先 匹配 完整 主机 地 址 ,然后 匹配 网 络 号 ,最 后 才 选 择 默认 路 由 。 

(7) 动态 选 路 是 由 路 由 守护 进程 根据 路 由 器 上 的 接口 配置 或 链 路 的 状态 ,动态 地 生成 
路 由 表 , 是 网 络 中 采用 的 主要 路 由 形式 。 

(8) RIP 是 使 用 最 广泛 的 动态 路 由 协议 ,RIP 采用 距离 向 量 算法 。 网 络 路 由 器 之 间 的 
最 大 跳 数 限制 为 15 ,因而 只 适用 小 型 网 络 。RIP 基于 UDP 协议 来 实现 。RIP v2 在 性 能 上 
比 RIPvl 有 提高 ,相应 的 在 报 文 格式 上 有 所 不 同 。 

(9) OSPF 也 是 广泛 使 用 的 内 部 网 关 协 议 ,是 一 种 链 路 状态 协议 ,克服 了 RIP 的 所 有 限 
制 。OSPF 直接 基于 IP 协议 来 实现 。 

(10) 路 径 MTU 即 PMTU, 是 指 两 台 主 机 之 间 通 信和 路 径 中 的 最 小 MTU。IP 报 文 的 长 
度 要 受 通信 的 PMTU 的 约束 。 如 果 IP 层 要 发 送 的 IP 数据 报 长 度 大 于 MTU, 则 需要 对 IP 
报 文 进行 分 片 。 分 片 有 可 能 引起 网 络 通信 效能 的 下 降 , 因 此 应 该 尽量 避免 分 片 。 

(11) 如 果 数 据 报 需要 分 片 但 IP 却 设置 了 禁止 分 片 , 则 会 产生 ICMP 需要 分 片 但 分 片 
禁止 差错 。 借助 这 个 ICMP 差错 可 以 实现 路 径 MTU 发 现 。 


(6.6 习题 


1. 子 网 掩 码 255. 255. 0. 255 是 否 对 A 类 地 址 有 效 ? 

2. 假设 一 个 路 由 器 要 使 用 RIP 通告 30 个 路 由 ,这 需要 一 个 包含 25 条 路 由 和 另 一 个 包 
含 5 条 路 由 的 数据 报 。 如 果 每 过 一 个 小 时 ,第 一 个 包含 25 条 路 由 的 数据 报 就 丢失 一 次 , 那 
么 其 结果 如 何 ? 

3. OSPF 报 文 格式 中 有 一 个 检验 和 字段 ,而 RIP 报 文 则 没有 此 项 ,这 是 为 什么 ? 

4. 向 UDP 数据 报 中 写 入 1473 字 节 用 户 数 据 时 ,将 导致 以 太 网 数据 报 分 片 的 发 生 , 则 
在 采用 以 太 网 IEEE 802 封装 格式 时 ,导致 分 片 的 最 小 用 户 数据 长 度 为 多 少 ? 

5. 假定 有 一 个 以 太 网 和 一 份 8192 字 节 的 UDP 数据 报 ,那么 需要 分 成 多 少 个 数据 报 
片 ,每 个 数据 报 片 的 偏 移 和 长 度 为 多 少 ? 

6. 为 何 希望 用 更 大 的 MTU 来 发 送 报 文 呢 ? 如何 查询 和 修改 Windows 7 系统 的 
MTU 值 ? 


对 


iv 


实验 6-1 route 命令 与 静态 路 由 
1. 实验 说 明 


通过 熟练 使 用 route 命令 ,掌握 主机 路 由 表 项 查看 增加、 删除 和 修改 的 方法 ,理解 路 由 
表 的 作用 和 静态 路 由 的 特点 。 
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2. 实验 环境 
Windows 或 Linux 操作 系统 及 网 络 环 境 ( 主 机 有 以 太 网 卡 并 连接 局 域 网 或 Internet) 。 
3. 实验 步骤 


步骤 1 在 命令 行 运行 route 命令 ,查看 该 命令 帮助 信息 ,了 解 各 个 参数 和 选项 的 用 法 。 
步骤 2 用 route 命令 查看 自己 主机 的 路 由 表 , 如 果 自 己 主机 配置 有 默认 路 由 ,删除 网 


络 配置 中 的 默认 网 关 后 ,查看 路 由 表 有 何 变化 。 尝 试 连接 外 网 指定 IP 地 址 的 其 他 主机 (如 
运行 命令 : ping 61. 139. 44. 38) 。 


表 。 


然后 


步骤 3 运行 route 命令 ,添加 一 条 静态 路 由 到 网 络 中 指定 IP 地 址 主机 ,并 查看 路 由 
如 


route add 61.139.44.38 255.0.0.0 192.168.0.1 
尝试 连通 上 述 主机 。 
步骤 4 运行 route 命令 ,修改 上 述 静 态 路 由 ,查看 路 由 表 并 尝试 连通 主机 ,最 后 删除 上 


述 静 态 路 由 。 


步骤 5 运行 route 命令 ,添加 默认 路 由 ,使 得 网 络 恢复 正常 。 
步骤 6 对 比 Windows 或 Linux 操作 系统 下 route 命令 的 不 同 用 法 ,记录 主要 的 差异 。 


4. 实验 报告 
记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 中 路 由 表 内 容 的 变化 及 对 网 络 通信 的 影响 。 


理解 利用 route 命令 维护 静态 路 由 的 方法 。 


5. 思考 

Packet Tracer 6. 0 中 如 何在 路 由 器 上 添加 静态 路 由 ? 

实验 6-2 ICMP 主机 和 网 络 不 可 达 差 错 

1. 实验 说 明 

通过 观察 路 由 器 转发 数据 报 过 程 中 产生 的 差错 现象 ,分 析 捕 获 的 ICMP 差错 报 文 内 容 ， 


掌握 ICMP 主机 不 可 达 差 错 报 文 格式 ,理解 路 由 表 的 作用 ,理解 IP 执行 的 选 路 机 制 及 其 工 
作 特点 。 


本 实验 在 模拟 环境 下 进行 。 如 果实 验 条 件 具 备 ,也 可 以 在 真实 环境 下 完成 。 

2. 实验 环境 

Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 ) , Packet Tracer 6. 0。 
3. 实验 步骤 

步骤 1 在 Packet Tracer 中 建立 如 图 6-7 所 示 的 拓扑 ,并 按 图 中 标识 设置 IP 地 址 和 主 
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机 的 默认 网 关 。 


192.168.2.1/24 192.168.2.2/24 


” 园 一 fn/0 192.168.3.1/24 
1841 1841 

ARouter0 Routerl ™\ 

县 


s 
PC-PT PC-PT 
PC0 PC2 
192.168.1.2/24 192.168.3.2/24 
gateway:192.168.1.1 gateway:192.168.3.1 
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步骤 2 路 由 器 Router0 配置 好 接口 IP 的 地 址 后 , 另 配 置 默认 路 由 如 下 。 

Router(config) # ip route 0.0.0.0 0.0.0.0 192.168.2.2 

即 默认 路 由 为 下 一 跳 Routerl 的 f0/0 接口 地 址 。 

路 由 器 Routerl 上 配置 好 两 个 接口 的 IP 地 址 ,路 由 设置 只 配置 一 条 去 往 192. 168. 1. 0 
的 路 径 。 

Router(config) # ip route 192.168.1.0 255.255.255.0 192.168.2.1 

配置 好 后 查看 两 个 路 由 器 的 路 由 表 。 确 认 路 由 器 Routerl 上 只 有 去 往 网 络 192. 168. 1. 0 


的 一 条 路 径 , 即 路 由 表 中 就 没有 其 他 路 径 。 

步骤 3 先 在 PCO 上 运行 下 列 命令 。 

PC> ping 192.168.3.2 

如 果 配 置 无 误 ,应 该 可 以 看 到 连通 的 信息 。 

步骤 4 切换 到 Packet Tracer 的 模拟 方式 ,在 PC0 上 运行 下 列 命令 。 

PC> ping 192.168.4.2 

在 模拟 方式 观察 数据 包 发 送 过 程 ,观察 在 Router0 处 数据 包 是 否 正常 转发 ,在 Routerl 
处 产生 的 ICMP 差错 报 文 。 

仔细 查看 各 个 报 文 并 记录 主要 的 报 文 内 容 , 注 意 差 错 报 文 的 数据 部 分 的 内 容 , 包 括 其 中 


的 ICMP 报 文 的 标识 。 
步骤 5 在 Packet Tracer 模拟 方式 下 输入 下 列 命令 。 


PC> ping 192.168.3.3 
观察 能 否 连通 ,如 果 不 能 ,是 否 产生 和 步骤 4 中 命令 的 同样 输出 ? 如 果 不 是 ,为 什么 ? 
4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 中 两 个 路 由 器 路 由 表 内 容 的 设置 与 实验 结 
果 的 关系 ,理解 ICMP 主机 不 可 达 差 错 产生 的 原因 和 特点 ,分 析 ICMP 主机 不 可 达 差 错 报 文 
的 构成 。 
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5. 思考 

如 何 设计 网 络 实验 ,以 便 能 观察 到 ICMP 端口 不 可 达 报 文 ? 
实验 6-3 ”RIP 协议 分 析 

1. 实验 说 明 


通过 观察 路 由 器 RIP 协议 工作 过 程 ,分 析 捕 获 的 RIP 报 文 内 容 , 掌 握 路 由 器 RIP 协议 
报 文 格式 ,理解 RIP 协议 的 工作 原理 和 特点 。 
本 实验 在 模拟 环境 下 进行 。 如 果实 验 条 件 具 备 ,也 可 以 在 真实 环境 下 完成 。 


2. 实验 环境 
Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 ) ,Packet Tracer 6. 0。 
3. 实验 步骤 


步骤 1 在 Packet Tracer 下 建立 如 图 6-8 所 示 的 实验 拓扑 结构 ,并 按 图 示 配 置 好 各 个 
接口 的 IP 地址 。 


192.168.2.1 192.168.2.2 192.168.4.1 192.168.4.2 
-3 
11 BB-------- -| | 
局 1841 pp i 
7 Fouen Routerl A Router2 


= 192.168.3.1 7 192.168.5.1 
192.168.5.2 
了 192.168.1.2 口 192.168.32 [a . 
| gateway:192.168.5.1 
Be gateway:192.168.1.1 PC-PT gateway:192.168.3.1 PCPT 
PCI1 PC2 
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步骤 2 将 Packet Tracer 切换 到 模拟 方式 ,过 滤器 可 以 设置 为 只 观察 RIP 报 文 。 然 后 
在 Router0 上 配置 RIP 协议 。 运 行 下 列 命令 。 
R1(config) # router rip 


Rl(config- router)#network 192.168.1.0 
Rl(config- router) #network 192.168.2.0 


注意 观察 当 按 下 Enter 键 并 结束 输入 命令 后 ,Packet Tracer 捕获 到 的 RIP 报 文 。 分 析 
第 一 个 和 第 二 个 RIP 报 文 是 何 种 类 型 的 RIP 报 文 ,第 三 个 和 第 四 个 和 前 两 个 有 什么 不 同 。 

步骤 3 单 击 Packet Tracer 的 capture/forward 按钮 ,手动 控制 继续 捕获 报 文 ,观察 
Routerl 和 PC0 收 到 报 文 后 的 处 理 。 因 为 Router0 连接 有 两 个 网 络 ,所 以 在 两 个 接口 都 会 
有 RIP 报 文 发 出 ,注意 两 次 发 出 的 报 文 的 内 容 的 不 同 ,比较 RIP 请 求 和 更 新 报 文 的 发 送出 
口 的 不 同 。 

步骤 4 查看 Router0 路 由 表 的 变化 。 

步骤 5 切换 Packet Tracer 到 模拟 方式 ,继续 在 Routerl 上 配置 RIP 协议 。 运 行 下 列 
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命令 。 

R2(config) # router rip 

R2(config— router) #network 192.168.2.0 

R2(config— router) #network 192.168.3.0 

R2(config— router) #network 192.168.4.0 

可 以 观察 到 : 8 个 RIP 报 文 ,其 中 有 3 个 RIP 请 求 报 文 首先 发 出 ,只 有 Router0 给 出 了 
响应 。 观 察 Router0 发 出 的 响应 报 文 的 内 容 ,理解 触发 更 新 的 含义 。 注 意 其 他 5 个 RIP 报 
文 的 内 容 。 

在 Router0 和 Routerl 上 查看 路 由 表 的 变化 。 

步骤 6 继续 捕获 数据 ,能 看 到 Router0 在 收 到 Routerl 发 出 的 第 二 个 RIP 更 新 报 文 
(注意 其 中 路 由 信息 的 内 容 ) 后 ,响应 了 一 个 触发 更 新 。 在 Router0 和 Routerl 上 查看 路 由 
表 的 变化 。 

步骤 7 继续 捕获 数据 ,观察 Router0 和 Routerl 上 路 由 表 的 建立 。 

步骤 8 让 Packet Tracer 自动 捕获 数据 ,观察 各 个 路 由 器 工作 期 间 RIP 信息 的 更 新 
过 程 。 

步骤 9 Packet Tracer 切换 到 模拟 方式 下 后 , 单 击 ,打开 路 由 器 Routerl 的 config 选项 
卡 ,选择 serial0/0/0 ,将 port status 的 on 选择 框 的 钩 去 掉 ,关闭 去 往 网 络 192. 168. 4. 0 通 
路 ,这 时 会 捕获 到 一 个 RIP 触发 路 由 报 文 ,观察 这 个 报 文 的 内 容 和 转发 的 过 程 。 观 察 在 
Router0 上 的 响应 报 文 和 在 路 由 表 中 引起 的 变化 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实验 中 RIP 工作 过 程 和 RIP 报 文 在 不 同时 期 的 
构成 内 容 , 理 解 RIP 协议 的 工作 原理 和 特点 。 


5. 思考 


RIP v2 的 报 文 结构 和 工作 过 程 有 何不 同 ? 尝试 通过 实验 来 观察 RIP v2 的 报 文 结构 和 
工作 过 程 。 


实验 6-4 OSPF 协议 分 析 
1. 实验 说 明 


通过 观察 路 由 器 OSPF 协议 工作 过 程 , 分 析 捕 获 的 OSPF 报 文 内 容 , 学 习 路 由 器 OSPF 
协议 报 文 格式 ,理解 OSPF 协议 的 工作 原理 和 特点 。 
本 实验 在 模拟 环境 下 进行 。 如 果实 验 条 件 具备 ,也 可 以 在 真实 环境 下 完成 。 


2. 实验 环境 

Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 ),Packet Tracer 6.0。 
3. 实验 步骤 

步骤 1 在 Packet Tracer 下 建立 如 图 6-8 所 示 的 实验 拓扑 结构 ,并 按 图 示 配 置 好 各 个 
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接口 的 IP 地址。 如 果 是 在 上 一 个 实验 的 基础 上 进行 本 实验 ,应 该 先 把 各 个 路 由 器 的 RIP 
配置 清除 掉 。 运 行 下 列 命令 。 


R1(config) # no router rip 
清除 掉 原 有 RIP 设置 后 ,用 下 列 命令 查看 路 由 器 的 设置 确认 。 
R1(config) # show ip protocol 


步骤 2 将 Packet Tracer 切换 到 模拟 方式 ,过 滤器 可 以 设置 为 只 观察 OSPF 报 文 。 然 
后 在 Router0 上 配置 OSPF 协议 。 运 行 下 列 命令 。 

R1(config) # router ospf 123 

R1(config— router)#router— id 0.0.0.1 


R1(config— router) #network 192.168.1.0 0.0.0.255 area 0 
Rl(config- router) # network 192.168.2.0 0.0.0.255 area 0 


注意 观察 当 按 下 Enter 键 并 结束 输入 命令 后 ,Packet Tracer 捕获 到 的 OSPF 报 文 。 注 
意 第 一 个 和 第 二 个 OSPF 报 文 是 何 种 类 型 的 报 文 。 

步骤 3 单 击 Packet Tracer 的 capture/forward 按钮 ,手动 控制 继续 捕获 报 文 ,观察 
Routerl 和 PC0 收 到 报 文 后 的 处 理 。 因 为 Router0 连接 有 两 个 网 络 , 所 以 在 两 个 接口 都 会 
有 OSPF 报 文 发 出 ,仔细 分 析 Router0 发 出 的 报 文 的 各 个 字段 内 容 ,注意 其 中 NEIGHBOR 
COUNT 的 值 。 另 外 ,注意 报 文 的 IP 目的 地 址 为 224. 0. 0. 5, 这 说 明 什么 ? 

步骤 4 查看 Router0 路 由 表 的 变化 和 OSPF 信息 的 变化 。 分 别 运 行 下 列 命令 。 


R1# show ip route 
R1 # show ip protocol 
R1 # show ip ospf neighbor 


注意 路 由 器 ID 的 内 容 。 

步骤 5 切换 Packet Tracer 到 模拟 方式 ,继续 在 Routerl 上 配置 OSPF 协议 。 运 行 下 
列 命令 。 

R2(config) # router ospf 123 

R2(config - router) # network 192.168.2.0 0.0.0.255 area 0 

R2(config - router) # network 192.168.3.0 0.0.0.255 area 0 

R2(config— router) #network 192.168.4.0 0.0.0.255 area 0 


可 以 观察 到 : Routerl 发 出 3 个 OSPF Hello 报 文 ,只 有 Router0 给 出 了 响应 。 观 察 
Router0 发 出 的 响应 报 文 的 内 容 ,注意 报 文 NEIGHBOR COUNT 的 值 。 

步骤 6 用 步骤 4 中 的 命令 在 Router0 和 Routerl 上 查看 路 由 表 的 变化 和 OSPF 邻居 
情况 。 注 意 邻居 信息 中 关于 DR 的 指示 信息 。 

步骤 7 单 击 Packet Tracer 的 capture/forward 按钮 ,手动 控制 继续 捕获 报 文 ,可 以 观 
察 到 : Router0 发 出 了 DD 报 文 , 随 后 Routerl 也 发 出 了 DD 报 文 。 仔 细 分 析 报 文 内 容 。 

步骤 8 单 击 Packet Tracer 的 capture/forward 按钮 ,手动 控制 继续 捕获 报 文 ,可 以 观 
察 到 : Router0 发 出 了 LSR 报 文 ,随后 Routerl 也 发 出 了 LSR 报 文 。 仔 细 分 析 报 文 内 容 。 
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步骤 9 继续 在 Router2 上 配置 OSPF 协议 。 执 行 下 列 命 令 。 


R3(config) # router ospf 123 

R3(config— router) #network 192.168.4.0 0.0.0.255 area 0 

R3(config— router) #network 192.168.5.0 0.0.0.255 area 0 

步骤 10 让 Packet Tracer 自动 捕获 数据 ,观察 各 个 路 由 器 工作 期 间 OSPF 信息 的 更 
新 过 程 。 在 各 个 路 由 器 上 查看 路 由 表 的 变化 和 OSPF 邻居 情况 。 

步骤 11 待 各 路 由 器 上 的 路 由 表 都 建立 完成 ,从 各 个 主机 上 尝试 ping 连通 其 他 主机 。 

步骤 12 将 Packet Tracer 切换 到 模拟 方式 下 后 , 单 击 , 打 开路 由 器 Router2 的 config 
选项 卡 , 单 击 窗 口 左 侧 设置 里 的 serial0/0/0 按钮 ,然后 将 port status 的 on 选择 框 的 钩 去 
掉 , 使 Routerl 和 Router2 之 间 的 连接 断路 ,这 时 会 捕获 到 Routerl 发 出 的 一 个 OSPF LRU 
报 文 ,观察 这 个 报 文 的 内 容 和 转发 的 过 程 。 观 察 在 Router0 上 的 响应 报 文 和 在 路 由 表 中 引 
起 的 变化 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 中 OSPF 工作 过 程 和 OSPF 报 文 在 工作 的 
不 同时 期 的 构成 内 容 ,理解 OSPF 协议 的 工作 原理 和 特点 。 


5. 思考 


(1) Routerl 和 Router2 都 未 设置 路 由 器 ID, 那 么 其 路 由 器 ID 是 多 少 ? 
(2) 实验 中 还 有 没有 观察 到 的 OSPF 报 文 ,尝试 通过 实验 来 观察 其 报 文 结构 和 工作 
过 程 。 


实验 6-5 ”IP 分 片 和 路 径 MTU 发 现 
1. 实验 说 明 


利用 ping 程序 提供 的 命令 参数 ,可 以 发 出 有 特定 长 度 和 不 准 分 片 标志 的 数据 报 文 , 根 
据 网 络 返 回 的 ICMP 报 文 来 实现 路 径 MTU 发 现 。 通 过 本 实验 ,掌握 IP 分 片 的 原理 和 路 径 
MTU 发 现 的 机 制 。 

ping 程序 命令 参数 及 含义 可 参看 实验 5-1。 


2. 实验 环境 
Windows 操作 系统 及 网 络 环 境 (主机 有 以 太 网 卡 并 连接 Internet) ,安装 有 Wireshark 1. 10。 
3. 实验 步骤 


步骤 1 在 Windows 下 打开 命令 行 窗口 ,选择 一 个 外 网 的 网 站 进行 ping 测试 。 如 ping 
百度 ,搜狐 门户 , 记 下 其 网 站 IP 地 址 (如 221. 236. 12. 169) ,便于 后 续 的 实验 。 

步骤 2 启动 Wireshark, 选 择 本 地 接口 抓 包 , 显 示 过 滤器 设置 为 IP 地址 ,为 步骤 1 获 
得 的 地 址 。 
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步骤 3 运行 下 列 命 令 。 
C:\>ping -1 2000 221.236.12.169 


观察 命令 运行 结果 ,分 析 捕 获 到 的 数据 报 文中 IP 分 片 的 报 文 类 型 和 报 文 内 容 。 注 意 
IP 首部 的 分 片 信息 和 片 偏 移 。 

步骤 4 根据 步骤 3 中 的 ICMP 报 文 的 长 度 1514 字 节 ,选择 1500 为 PMTU 发 现 的 探 
测 数 据 长 度 ,运行 下 列 命 令 。 


C:\>ping -11500 -fF 221.236.12.169 


观察 命令 输出 结果 和 抓 包 情况 。 不 同 的 Windows 版 本 可 能 会 有 不 同 的 结果 。 如 果 显 
示 为 “需要 拆 分 数据 报 但 是 设置 DF”, 则 减 小 测试 数据 长 度 , 然 后 继续 测试 ,如 


C:\>ping -11460 -上 221.236.12.169 


观察 命令 输出 和 抓 包 结果 。 

分 析 捕 获 到 的 ICMP 差错 报 文 的 类 型 和 内 容 。 

步骤 5 调整 数据 长 度 , 继 续 测试 ,直到 测试 数据 刚好 连通 ,不 产生 差错 。 这 时 得 到 的 
就 是 报 文 可 以 承载 的 数据 长 度 (但 还 不 是 PMTU ,为 什么 ?) 。 

步骤 6 计算 出 实验 的 PMTU。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 获 取 PMTU 的 工作 机 制 ,掌握 IP 分 片 的 工 
作 特 点 和 报 文 内 容 , 掌 握 ICMP 需要 分 片 但 设置 了 不 分 片 位 标志 差错 报 文 的 构成 和 作用 。 
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UDP 采用 无 连接 的 方式 来 提供 通信 服务 ,是 传输 层 协议 中 最 简单 的 协议 。 应 用 进程 的 
每 个 输出 操作 都 正好 产生 一 个 UDP 数据 报 , 并 组 装 成 一 份 待 发 送 的 IP 数据 报 ,UDP 并 不 
提供 任何 机 制 来 保证 数据 传输 的 可 靠 性 。 

UDP 具有 较 好 的 通信 效能 ,非常 适合 对 通信 开销 有 一 定 要 求 的 场合 。 许 多 典型 的 应 用 
协议 采用 了 UDP 协议 来 实现 ,例如 ,RIP.DHCP、DNS 和 SNMP 协议 等 。 

本 章 分 析 UDP 协议 的 主要 特点 和 报 文 格式 ,介绍 基于 UDP 来 实现 的 应 用 层 协 议 
DNS.DHCP 和 SNMP。 


4. UDP 协议 


7.1.1 UDP 协议 的 特点 


UDP 是 一 个 简单 的 ` 面 向 数据 报 的 传输 层 协议 ,无 连接 协议 ,简单 地 把 从 TCP/IP 应 用 
层 得 到 的 消息 打包 到 数据 报 中 ,UDP 数据 报 只 是 在 应 用 层 的 基础 数据 上 添加 一 个 首部 后 就 
传递 给 IP 层 。 由 于 UDP 没有 提供 任何 类 型 的 内 置 出 错 检 查 或 重 传 能 力 来 提高 可 靠 性 ,这 
种 方法 称 为 尽 最 大 努力 交付 (Best-Effort Delivery) 。 

尽 最 大 努力 交付 的 意义 就 在 于 UDP 不 会 为 交付 保证 和 可 靠 性 机 制 产生 更 多 的 开销 。 
在 网 络 上 , 越 强 的 能 力 就 意味 着 必须 为 收集 .管理 和 交换 各 种 信息 提供 系统 开销 ,这 也 必然 
给 通信 处 理 的 速度 带 来 影响 。 在 许多 网 络 状况 下 ,特别 是 在 局 域 网 中 ,UDP 比 TCP 提供 更 
高 的 运行 速度 ,具有 很 好 的 网 络 传输 性 能 ,这 是 因为 UDP 几乎 喻 事 都 不 做 , 仅 把 数据 封装 
传递 ,并 不 跟踪 传输 行为 或 交互 的 完整 性 。 

由 于 UDP 的 高 效率 ,在 实践 中 UDP 往往 面向 交易 型 应 用 , 即 一 次 交易 往往 只 有 一 来 
一 回 两 次 报 文 交 换 , 假 如 为 此 而 建立 连接 和 拆除 连接 ,开销 就 相对 很 大 了 。 广 泛 使 用 的 
RIP.DHCP、DNS 和 SNMP 等 基于 UDP 的 应 用 协议 就 具有 交易 通信 的 特点 ,这 时 候 使 用 
UDP 非常 有 效 , 因 为 即使 因 报 文 损 失重 传 一 次 ,其 开销 也 比 面向 连接 的 传输 要 小 。 

许多 基于 UDP 的 应 用 程序 在 高 可 靠 性 、 低 延迟 的 局 域 网 上 运行 的 非常 好 ,而 到 了 通信 
网 络 质量 很 低 的 Internet 环境 下 有 可 能 根本 不 能 运行 。 根 本 原因 就 在 于 UDP 的 不 可 靠 ,而 
这 些 应 用 程序 本 身 又 没有 做 可 靠 性 处 理 。 因 此 ,在 不 可 靠 网 络 中 ,基于 UDP 的 应 用 程序 必 
须 自己 解决 可 靠 性 问题 ,比如 报 文 的 丢失 重复 、 失 序 和 流 控 的 问题 。 
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尽管 UDP 不 提供 数据 的 可 靠 传 输 ,但 仍然 可 以 选择 在 每 个 数据 包 中 包含 一 个 校 验 和 ， 
使 得 传输 层 协 议 易于 向 高 层 协议 报告 抵达 目标 的 数据 包 是 否 与 其 离开 发 送 方 时 相同 ,这 种 
简单 的 处 理 方式 不 需 处 理 潜在 的 复杂 细节 。 尽 管 UDP 检验 和 是 可 选 的 ,但 总 是 在 使 用 。 

传输 层 提 供 的 是 端 到 端的 通信 ,所 有 的 TCP/IP 传输 层 协议 都 在 其 首部 使 用 源 端 口 地 
址 和 目的 端口 地 址 来 标识 发 送 端 和 接收 端 上 特定 的 应 用 层 协 议 , 因 此 它们 能 在 更 高 层 交 换 
信息 。 这 种 协议 标识 机 制 通过 与 大 部 分 高 层 协议 和 服务 关联 的 公认 端口 地 址 来 标识 应 用 程 
序 , 同 时 也 允许 使 用 这 些 协 议 与 服务 交换 数据 的 应 用 进程 在 通信 过 程 中 唯一 的 相互 标识 对 
方 , 即 把 传输 层 的 端口 号 理解 为 端 主机 中 应 用 层 通信 进程 的 标识 。 这 样 即使 无 连接 协议 没 
有 创建 ,管理 及 终止 连接 的 内 部 方法 , 却 也 确实 为 发 生 在 应 用 层 的 这 些 行 为 提供 了 一 种 
机 制 。 

UDP 发 送 数据 时 ,UDP 软件 构造 一 个 数据 报 , 交 给 IP 软件 便 完成 工作 。 接 收 数据 时 ， 
UDP 软件 先 要 判断 接收 数据 报 的 信 宿 端口 是 否 与 当前 使 用 的 某 端 口 匹配 ,如 果 不 匹 配 , 则 
抛弃 该 数据 报 并 向 信 源 端 发 送 端口 不 可 达 的 ICMP 差错 报 文 ; 如 果 端 口 匹配 成 功 , 还 需要 
看 相应 端口 缓冲 区 是 否 已 满 , 只 有 缓冲 区 中 可 以 存放 数据 才 接收 成 功 并 提交 给 上 层 协议 , 否 
则 也 要 丢弃 数据 报 。 

为 确保 通信 的 效率 ,基于 UDP 的 应 用 程序 还 必须 关心 IP 数据 报 的 长 度 。 如 果 UDP 
提交 给 IP 的 数据 长 度 超过 网 络 的 MTU ,那么 IP 层 就 要 对 IP 数据 报 进行 分 片 。 如 果 需 要 ， 
源 端 到 目的 端 之 间 的 每 个 网 络 都 要 进行 分 片 。 分 片 带 来 的 问题 在 6. 4 节 已 经 作 了 分 析 , 避 
免 分 片 是 保证 UDP 通信 效率 的 要 求 。 应 用 程序 的 每 份 数据 报 往往 总 是 限制 在 小 于 512 
字 节 。 


7.1.2 UDP 的 报 文 格 式 


UDP 数据 报 被 封装 在 一 个 IP 数据 报 中 ,UDP 报 文 的 封装 格式 如 图 7-1 所 示 。 一 条 
UDP 报 文 就 叫 一 条 用 户 数据 报 ,封装 时 直接 放 入 IP 报 文 数据 区 中 ,IP 首部 中 协议 字段 值 为 
17(0x11) , 即 表示 封装 的 是 UDP 数据 报 。 








UDP 数 据 报 














| IP 首 部 UDP 首 部 UDP 数据 
| IP 数 据 报 wl 











7-1 UDP 报 文 的 封装 格式 


UDP 数据 报 首部 的 格式 如 图 7-2 所 示 。 标 准 的 UDP 首部 长 度 是 8 字 节 。 


0 78 15 16 31 














16 位 源 端 口 16 位 目的 端口 8 字 节 
16 位 UDP 长 度 16 位 UDP 校 验 和 
数据 (如 果 有 ) 











图 7-2 UDP 数据 报 的 首部 格式 
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首先 是 报 文 收发 的 端口 号 。 端 口号 表示 发 送 进 程 和 接收 进程 。 源 端口 是 发 送 进程 的 
UDP 端口 ,如果 不 需要 返回 数据 , 源 端口 设置 为 0。TCP 和 UDP 依据 目的 端口 号 分 用 来 自 
IP 层 的 数据 。 

需要 注意 的 是 ,由 于 IP 层 已 经 把 IP 数据 报 分 配给 TCP 或 UDP, 因 此 TCP 端口 号 由 
TCP 来 查看 ,而 UDP 端口 号 由 UDP 来 查看 ,TCP 端口 号 与 UDP 端口 号 是 相互 独立 的 。 

UDP 长 度 为 UDP 首部 和 UDP 数据 的 总 字 节 数 , 也 等 于 IP 数据 报 全 长 减 去 IP 首部 的 
长 度 。 这 个 字段 的 最 小 值 为 8, 即 UDP 数据 报 只 有 首部 ,没有 数据 部 分 。 

UDP 检验 和 覆盖 UDP 首部 和 UDP 数据 。UDP 检验 和 计算 方法 是 把 UDP 数据 报 ( 包 
括 伪 首部 十 首部 十 UDP 数据 ) 的 若干 个 16 位 字 相 加 。 若 UDP 数据 报 的 长 度 为 奇数 字 节 ， 
则 在 最 后 增加 填充 字 节 0; 若 为 偶数 字 节 , 则 不 用 加 0。 

为 了 计算 检验 和 UDP 设置 了 一 个 12 字 节 长 的 伪 首 部 ,包含 4 字 节 源 IP 地 址 .4 字 节 
目的 IP 地 址 、1 字 节 填充 、1 字 节 协议 类 型 和 2 字 节 UDP 长 度 。 这 样 计算 校 验 和 时 求 和 数 
据 就 包含 了 通信 双方 的 IP 地 址 和 协议 类 型 ,从 而 使 得 计算 得 出 的 校 验 和 具有 了 一 定 的 区 
分 度 。 

UDP 的 检验 和 是 可 选 的 ,而 TCP 的 检验 和 是 必需 的 。 

UDP 检验 和 是 简单 的 16 位 和 。 它 检测 不 出 交换 两 个 16 位 的 差错 ,这 是 因为 两 个 16 
位 交换 后 , 校 验 和 值 仍 相等 。 所 以 UDP 无 法 查 出 来 数据 换 位 的 错误 。 

基于 UDP 的 应 用 协议 很 多 ,其 基本 的 特点 都 是 为 提高 通信 效率 ,降低 通信 开销 ,或 在 
一 个 网 络 内 的 应 用 。 本 章 主 要 以 DNS、DHCP 和 SNMP 来 说 明基 于 UDP 的 应 用 协议 和 协 
议 分 析 的 方法 。 更 多 的 应 用 协议 请 读者 参考 其 他 资料 。 


(2 DNS 协议 


Internet 采用 了 层次 型 的 命名 机 制 及 管理 ,在 TCP/IP 中 就 是 DNS 域名 系统 。DNS 能 
在 用 户 方便 性 和 网 络 传输 有 效 性 之 间 建 立 起 途径 ,使 用 户 可 以 方便 地 使 用 域名 来 对 网 络 上 
的 不 同 节点 进行 有 效 地 访问 ,而 地 址 变换 的 过 程 对 用 户 是 透明 的 。DNS 域名 解析 的 详细 工 
作 原 理 和 基本 过 程 在 计算 机 网 络 课程 中 都 有 学 习 , 这 里 只 作 简 单 回顾 。 


7.2.1 域名 解析 的 有 关 概 念 


DNS 系统 通过 域名 数据 库 将 用 户 的 名 称 解析 为 与 此 名 称 相对 应 的 IP 地 址 。DNS 系统 
通常 有 几 个 固定 的 部 分 : DNS 的 分 布 式 数据 库 系 统 由 域名 空间 和 相关 的 资源 记录 构成 ; 
DNS 名 称 服 务 器 是 一 台 维 护 DNS 分 布 式 数据 库 系 统 的 服务 器 ,查询 该 系统 可 以 答复 来 自 
DNS 客户 的 查询 请 求 ; DNS 解析 器 是 DNS 客户 机 中 的 一 个 进程 ,用 来 帮助 客户 端 访问 
DNS 系统 ,发 出 名 称 查询 请 求 来 获得 解析 的 结果 。DNS 域名 数据 库 是 一 个 树 状 结构 的 分 
布 式 数据 库 ,支持 这 个 数据 库 的 各 级 域名 服务 器 也 是 一 个 分 布 式 的 层次 结构 的 集合 。 

域名 解析 的 方式 有 两 种 ,一 种 称 为 递归 解析 (Recursive Resolution) 或 递归 查询 , 另 一 种 
称 为 迭代 解析 (Iterative Resolution) 或 迭代 查询 。 递 归 查 询 要 求 域名 服务 器 系统 一 次 性 完 
成 全 部 名 字 地 址 变换 , 即 当 请 求 的 域名 服务 器 无 法 完成 名 称 解析 时 ,直接 将 解析 请 求 转向 下 
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一 个 域名 服务 器 。 和 迭代 查询 则 在 每 次 请 求 一 个 服务 器 解析 不 能 完成 时 ,就 返回 下 一 个 域名 
服务 器 的 名 字 给 请 求 者 ,由 请 求 者 再 次 构造 新 的 解析 请 求 向 下 一 个 服务 器 请 求解 析 , 以 此 类 
推 ,直至 找到 具有 请 求 者 域名 的 服务 器 。 两 者 的 区 别 在 于 ,前 者 将 复杂 性 和 负担 交 给 了 服务 
器 软件 ,而 后 者 则 交 给 了 本 地 解析 器 软件 。 显 然 , 递 归 解 析 方 式 在 名 称 请 求 频繁 时 性 能 不 够 
好 ,而 迭代 解析 方式 在 名 字 请 求 不 多 时 性 能 不 好 。 

类 似 于 ARP 和 RARP,DNS 也 有 正 向 地 址 解析 和 反 向 地 址 解析 的 过 程 。 下 面 主 要 从 
协议 分 析 的 角度 来 学 习 DNS 的 报 文 结构 和 工作 过 程 。 

应 用 程序 在 真正 开始 通信 之 前 ,首先 必须 从 对 方 主机 的 域名 解析 出 对 方 的 IP 地 址 ,这 
样 才能 构造 相应 的 IP 报 文 ,这 就 是 一 个 域名 解析 的 过 程 。 应 用 程序 将 域名 交 给 本 地 解析 器 
软件 ,该 软件 首先 在 本 地 缓冲 区 中 查找 相应 的 绑 定 信息 ,如 果 找 不 到 , 则 本 地 解析 器 构造 一 
个 询问 报 文 ,发 往 初 始 域名 服务 器 (通常 在 主机 网 络 配置 时 设 定 )。 初 始 域名 服务 器 根据 解 
析 情 况 回 答 一 个 响应 报 文 或 者 根据 解析 方式 转发 解析 请 求 。 一 旦 解析 器 从 本 地 缓冲 区 或 服 
务 器 响应 中 获得 目标 机 IP 地 址 , 则 交 给 应 用 程序 ,应 用 程序 便 可 以 开始 真正 的 通信 过 程 。 

DNS 既 可 以 使 用 UDP, 也 可 以 使 用 TCP 来 进行 通信 。DNS 服务 器 使 用 UDP 或 TCP 
的 53 号 熟知 端口 。 不 过 DNS 主要 还 是 使 用 UDP, 解 析 器 或 是 服务 端 都 必须 自己 处 理 重 传 
和 超时 。 使 用 TCP 的 情况 仅 出 现在 一 些 特殊 的 情形 下 ,例如 , 报 文 太 长 以 至 于 一 个 UDP 报 
文 不 能 容纳 ,或 是 在 辅助 域名 服务 器 的 区 域 传送 。 


7.2.2 DNS 报 文 格式 分 析 


DNS 报 文 包括 请 求 报 文 和 响应 报 文 。 请 求 报 文 和 响应 报 文 的 格式 是 相同 的 ,如 图 7-3 
所 示 。DNS 报 文 的 首部 由 6 个 字段 构成 ,长 度 为 12 字 节 。 
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图 7-3 DNS 报 文 格式 


DNS 报 文 格式 说 明 如 下 。 

(1) 标识 : 报 文 的 ID ,长 度 为 16 位 ,用 于 将 DNS 请 求 和 对 应 的 响应 关联 起 来 。 

(2) 标志 : 描述 DNS 报 文 的 类 别 和 工作 特性 ,长 度 为 16 位 ,划分 为 如 图 7-4 所 示 的 若 
干 子 字 段 。 下 面 对 各 个 子 字段 进行 说 明 。 
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图 7-4 DNS 报 文 首部 中 的 标志 字段 


115 


hh 


116 


SN 


TCP/IP 协 议 分 析 教 程 与 实验 


OO QR 子 字段 : 用 来 区 别 请 求 和 响应 ,0 表示 请 求 报 文 ,1 表示 响应 报 文 , 占 1 位。 

@ Opcode 子 字段 : 用 来 定义 操作 类 型 ,4 位 ,各 个 取 值 含义 如 表 7-1 所 示 。 要 了 解 各 个 
取 值 的 最 新 变更 ,可 访问 IANA(The Internet Assigned Numbers Authority, 互 联网 数字 分 
配 机 构 ) 的 网 站 。 


表 7-1 Opcode 子 字段 取 值 





操作 取 值 操作 说 明 操作 取 值 操作 说 明 
0 标准 查询 ( 正 向 解析 ) 4 通知 
1 反 向 查询 ( 反 向 解析 ) 瑟 更 新 
沁 服务 器 状态 请 求 6~15 可 用 于 分 配 
3 保留 


@ AA 子 字段 : 表示 授权 回答 , 仅 在 应 答 时 有 效 , 占 1 位。 如 果 置 1, 表 明 应 答 的 名 称 服 
务 器 是 定义 在 提问 名 称 字段 中 域名 的 权威 服务 器 。 

@ TC 子 字段 : 表示 可 截断 的 , 仅 在 应 答 中 有 效 , 占 1 位 。 如 果 应 答 数据 太 多 ,不 能 
放 在 UDP 数据 报 的 数据 部 分 ,将 会 被 截断 。 置 1, 表 示 应 答 包含 了 大 量 的 名 称 服务 器 数 
据 , 有 可 能 超过 MTU。 这 种 情况 下 ,数据 包 被 截断 ,UDP 报 文 只 返回 前 512 字 节 应 答 
数据 。 

@ RD 子 字段 : 表示 期 望 递归 , 占 1 位 。 置 1 ,为 递归 查询 ; 置 0, 则 为 迭代 查询 。 

@ RA 子 字段 : 表示 可 用 递归 , 仅 在 应 答 中 有 效 , 占 1 位 。 置 1, 表示 名 称 服务 器 支 
持 递 归 。 

@ Rcode 子 字段 : 表示 返回 码 , 用 于 应 答 ,指明 是 否 发 生 了 错误 , 占 4 位 ,常用 的 取 值 如 
表 7-2 所 示 。 


表 7-2 Reode 子 字段 取 值 





返回 码 值 描 述 返回 码 值 描 述 
0 没有 错误 6 存在 不 该 存在 的 名 称 
L 格式 错误 凶 RR 设置 不 存在 时 存在 
2 服务 器 失效 8 RR 设置 存在 时 不 存在 
3 不 存在 的 域 9 服务 器 不 是 权威 服务 器 
4 未 实现 10 区 域 中 无 该 名 称 
5 查询 被 拒绝 11~15 可 用 于 赋值 





Rcode 子 字段 支持 扩展 ,通过 在 RR(Resource Record ,资源 记录 ) 中 增加 特别 的 类 型 ， 
可 以 扩展 出 8 位 ,12 位 和 16 位 的 扩展 返回 类 型 ,相关 内 容 可 参阅 IANA 的 网 站 。 

(3) 问题 记录 数 : 指明 包含 在 问题 部 分 中 的 问题 数 , 占 2 字 节 。 

(4) 回答 记录 数 : 指明 包含 在 回答 部 分 中 的 RR 的 个 数 , 占 2 字 节 。 

(5) 授权 记录 数 : 指明 包含 在 授权 部 分 中 的 名 称 服务 器 RR 的 个 数 , 占 2 字 节 。 

(6) 附加 记录 数 : 指明 包含 在 附加 部 分 中 的 RR 的 个 数 , 占 2 字 节 。 

DNS 报 文 的 数据 部 分 由 4 个 变 长 部 分 组 成 。 请 求 报 文中 常常 都 只 有 问题 部 分 有 内 容 ， 
而 其 他 3 个 部 分 的 资源 记录 数 为 0, 因而 内 容 部 分 为 空 。 这 里 结合 图 7-3 说 明 各 个 部 分 。 

(1) DNS 问题 部 分 由 一 组 问题 记录 组 成 ,问题 记录 格式 为 查询 名 字段 .查询 类 型 和 查 
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询 类 构成 。 查 询 名 字段 可 变 长 ,由 多 个 标号 序列 构成 ,每 个 标号 前 有 一 个 字 节 指出 该 标号 的 
字 节 长 度 , 然 后 是 域名 的 某 一 级 名 字 。 
查询 类 型 长 16 位 ,定义 询问 希望 得 到 的 回答 类 型 ,这 也 就 是 域名 系统 资源 记录 的 类 型 。 
最 常见 的 资源 记录 类 型 如 表 7-3 所 示 。 
表 7-3 资源 记录 类 型 部 分 取 值 





类 型 取 值 描 述 
A 3 用 于 域名 到 IPv4 地 址 的 转换 
NS 2 标识 区 域 的 授权 名 字 服 务 器 
CNAME 5 主机 别名 的 规范 名 称 
SOA 6 标识 授权 区 域 的 开始 
PTR 12 指向 其 他 域名 空间 的 指针 
HINFO 13 主机 信息 
MINFO 14 邮箱 或 邮件 列表 信息 
MX 15 邮件 交换 
TXT 16 任意 文本 字符 串 
ANY 255 全 记录 请 求 , 请 求 所 有 的 记录 


用 于 DNS 的 资源 记录 类 型 很 多 ,这 里 没有 全 部 列 出 ,需要 时 可 以 查阅 相关 资料 。 

查询 类 长 16 位 ,指明 查询 的 类 别 。 取 1, 表 示 因 特 网 协议 (IN) 。 

(2) 其 余 3 部 分 是 应 答 报 文 的 内 容 。DNS 应 答 报 文中 的 回答 部 分 .授权 部 分 和 附加 部 
分 都 采用 相同 的 资源 记录 格式 ,如 图 7-5 所 示 。 通 常 一 条 资源 记录 描述 一 个 域名 及 其 相关 
的 特性 信息 。 
0 15 16 31 

域名 (长 度 可 变 ) 
类 型 | 类 
生存 时 间 
资源 数据 长 度 | 

资源 数据 
























7-5 DNS 资源 记录 格式 


中 域名 : 指出 本 资源 记录 所 涉及 的 域名 ,长 度 可 变 。 

在 响应 报 文中 ,回答 的 域名 往往 与 问题 中 的 域名 相同 。 为 了 节省 响应 报 文 的 空间 ,服务 
器 对 回答 的 域名 采用 压缩 格式 ,对 相同 的 域名 只 存放 一 个 拷贝 ,其 他 采用 指针 表示 。 

若 开始 的 两 个 二 进 制 位 为 "11”, 则 接 下 去 的 14 位 为 指针 ,该 指针 指向 存放 在 报 文中 另 
一 位 置 的 域名 字符 串 ; 若 开始 的 两 个 二 进 制 位 为 "00”, 则 接 下 去 的 6 位 指出 紧 跟 在 计数 字 
节 后 面 的 标号 的 长 度 。 

@ 类 型 : 指明 资源 数据 中 资源 记录 的 类 型 , 占 16 位 ,各 种 类 型 取 值 参考 表 7-3。 

@ 类 : 指明 数据 类 ,对 应 于 查询 类 ,该 值 为 1, 表示 因特网 协议 (IN)。 

@ 生存 时 间 : 指出 本 资源 记录 可 被 缓冲 区 保存 的 时 间 ( 以 秒 计 ), 占 4 字 节 。 如 果 该 字 
段 的 值 为 0, 资 源 数据 可 以 被 使 用 一 次 ,但 不 会 被 缓冲 。 
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@@ 资源 数据 长 度 : 指明 资源 数据 字段 的 长 度 ,2 字 节 。 虽 然 这 个 字段 将 资源 数据 的 长 
度 有 效 地 限制 在 65 535 字 节 之 内 ,只 要 大 多 数 RR 数据 的 长 度 小 于 512 字 节 ,一 般 情 况 下 不 
会 对 UDP 传递 数据 造成 影响 。 

@) 资源 数据 : 资源 信息 本 身 , 长 度 可 变 。 从 某 种 意义 上 说 ,可 以 称 其 为 包含 了 资源 记 
录 的 真正 负载 , 即 名 称 解析 的 结果 。 

需要 指出 的 是 ,整个 DNS 报 文 是 以 字 节 为 单位 的 ,无 数据 填充 ,因此 有 可 能 出 现 奇数 字 
节 的 报 文 长 度 。 


7.2.3 DNS 报 文 实例 


为 更 直观 地 了 解 DNS 报 文 ,下 面 分 析 用 Wireshark 从 实际 网 络 上 捕获 的 DNS 请 求 和 
应 答 报 文 ,分 别 如 图 7-6 和 图 7-7 所 示 。 
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Source port: polestar (1060) 
Destination port: domain (53) 
Length: 39 
| @ checksum: Ox036d [validation disabled] 
日 Domain Name System (query) 


Transacrion ID: Ox180f 
© Flags: Ox0100 Standard query 
= Response: Message is a query 
，= Opcode: Standard query (0) 
Truncated: Message is not truncated 
Mecwrston destred: Do qvery recursively 


:0 
Authority RRs: 0 
有 Addirional gs: o 
日 Queries 
目 wireshark.org: type A, class IN 














图 7-6 DNS 请 求 报 文 实例 


从 两 个 报 文 的 解析 中 均 可 以 看 到 ,DNS 报 文 封装 在 UDP 数据 报 中 。 请 求 方 的 端口 号 
是 自 定 的 ,而 DNS 服务 器 的 端口 号 是 53。DNS 请 求 和 应 答 报 文中 都 有 一 个 事务 ID 
(CTransaction ID) , 即 标识 字段 ,来 把 请 求 和 应 答 关联 起 来 。 图 中 事务 ID 的 值 为 0x180f。 

在 图 7-6 的 DNS 请 求 报 文中 ,可 以 看 到 标志 (Flags) 字 段 的 每 一 个 子 字段 的 取 值 和 含 
义 , 表 明 该 报 文 是 一 个 采用 递归 解析 的 标准 的 DNS 查询 报 文 。 因 为 是 查询 报 文 ,返回 码 没 
有 设置 。 问 题记 录 数 为 1, 查 询 报 文 没 有 其 他 记录 ,所 以 其 余 记录 数 都 为 0。 观察 问题 部 分 ， 
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可 Frame 2: 89 bytes on wire (712 bits), 89 bytes captured (712 bits) 
Ethernet II, Src: D-Link_21:99:4c (00:05:5d:21:99:4c), Dst: HonHaipr_6e:8b:24 (00:16:ce:6e:8b:24) 
加 Internet Protocol Version 4, Src: 205.152.37.23 (205.152.37. i Dst: 192.168.0.114 (192.168.0.114) 
日 User Datagram Protocol, src Port: domain (53), Dst Port: polestar (1060) 
Source port: domain (53) 
Destination port: polestar (1060) 
Length: 55 
国 Checksum: Ox3c20 [validation disabled] 
日 Domain Name System (response) 


[Time: 0.091164000 seconds] 
Transaccion ID: Ox180f 
日 Flags: Ox8180 Standard query response, No error 
.+ = Response: Message is a response 
= opcode: standard query (0) 
~ Authoritative: Server 1s not an authority for domain 
= Truncated: Message is not truncated 
= Recursion desired: Do query recursively 
= Recursion available: server can do recursive queries 
= Z: reserved (0) 
= Mnower sthent {cated: Answer /mthor tey portion was not authenticated by the s 
= Non-authenticated data: Unacceptabl 
.. 0000 = Reply code: No error (0) 


:1 
Authority RRs: 
Additional RRs: 
日 Queries 
日 wireshark,org: type A, class IN 
Name: wireshark.org 


Type: A (Host address) 
Class: IN (0x0001) 
日 Answers 
日 wireshark.org: type A, class IN, addr 128.121.50.122 














图 7-7 DNS 应 答 报 文 实例 


可 以 看 到 该 报 文 要 解析 的 域名 为 wireshark. org, 图 7-6 中 加 亮 部 分 的 数据 表明 了 数据 在 报 
文中 原始 格式 。 注 意 观察 包 原始 数据 ,可 以 看 到 ,要 解析 的 名 字 在 DNS 报 文 数据 中 按 每 级 
域名 以 名 字 长 度 加 名 字 字 符 串 的 格式 存放 ,例如 ,“09 77 69 72 65 73 68 61 72 6b” 中 “09” 为 
“wireshark” 的 长 度 ,后 面 9 个 字符 为 域名 。 类 型 为 A, 表 示 查 询 主机 地 址 。 类 为 IN ,表示 
Internet 地 址 。 

图 7-7 为 DNS 应 答 报 文 。 和 请 求 报 文 主要 的 不 同 是 : 除了 标志 中 的 子 字段 不 同 ,更 主 
要 是 增加 了 回答 的 资源 记录 。 特 别 需要 注意 的 是 ,应 答 报 文中 保留 有 问题 部 分 ,因此 回答 部 
分 里 的 名 字 部 分 采用 了 压缩 方式 。 观 察 图 7-7 中 加 亮 的 部 分 ,可 以 看 到 名 字 wireshark. org 
在 回答 报 文 的 原始 数据 中 仅 为 “c0 0c” 两 个 字 节 ,从 其 中 得 到 的 指针 “0x000c" 是 从 DNS 报 
文 开 始 计算 的 偏 移 值 ,正好 指向 问题 部 分 的 名 字 字 符 串 。 


C.3 DHCP 协议 


最 早 提出 解决 从 网 络 上 的 服务 器 处 获得 主机 自己 的 IP 地 址 、 文 件 服务 器 的 IP 地址、 可 
运行 的 引导 文件 名 等 信息 的 是 BOOTP 协议 ,其 针对 的 是 网 络 上 无 盘 节 点 的 引导 。 随 着 计 
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算 机 网 络 的 发 展 ,网 络 中 的 计算 机 经 常 移动 ,静态 的 配置 和 管理 主机 的 网 络 信息 已 不 能 适应 
要 求 。 同 时 ,网 络 中 实际 计算 机 的 数目 超过 了 可 获得 的 IP 地 址 数量 , 即 IP 地 址 不 够 的 问题 
日 渐 突出 。 这 时 ,采用 动态 配置 管理 主机 网 络 信息 的 DHCP 就 十 分 必要 了 。 有 关 DHCP 
的 详细 工作 原理 和 基本 过 程 在 计算 机 网 络 课程 中 已 有 学 习 , 这 里 只 作 简单 回顾 。 


7.3.1 DHCP 的 有 关 概 念 


动态 主机 配置 协议 DHCP 是 在 TCP/IP 网 络 上 使 计算 机 获得 它 所 需要 的 所 有 配置 信 
息 的 协议 ,不 仅 允 许 计 算 机 快速 动态 地 获取 IP 地 址 和 子 网 掩 码 ,还 可 以 获取 其 他 网 络 配置 
信息 ,如 DNS 服务 器 。 运 用 DHCP 可 使 大 量 计算 机 的 配置 工作 变 得 简单 ,大 大 地 提高 了 网 
络 管理 效能 。 

DHCP 协议 兼容 BOOTP 协议 ,DHCP 协议 被 认为 是 BOOTP 的 增强 。DHCP 采用 
UDP 作为 传输 协议 ,DHCP 服务 器 使 用 67 号 端口 ,客户 机 使 用 68 号 端口 。 

DHCP 标准 在 RFC 1531 中 进行 说 明 ,RFC 1534、RFC 2131 和 RFC 2132 给 出 了 新 的 
功能 说 明 。 

DHCP 的 基本 工作 过 程 描述 如 下 。 

(1) 首先 , 客户 机 在 物理 网 络 中 发 出 DHCPDISCOVER 广播 报 文 , 以 查找 可 用 的 
DHCP 服务 器 , 报 文中 包含 了 客户 机 想 要 获得 的 各 种 参数 。 

(2) 网 络 中 所 有 接收 到 DHCPDISCOVER 广播 报 文 的 DHCP 服务 器 都 会 响应 一 个 
DHCPOFFER 报 文 ,这 个 报 文中 包含 客户 机 的 MAC 地 址 .服务器 提供 的 IP 地 址 . 子 网 掩 
码 .租赁 期 间 、 提 供 DHCP 的 服务 器 IP 地 址 等 。 同 时 ,DHCP 服务 器 会 保存 已 分 配 IP 地 址 
的 记录 。 

(3) 客户 机 能 收 到 每 个 DHCPOFFER 报 文 ,但 一 次 只 能 处 理 一 个 ,一 般 处 理 最 先 收 到 
的 DHCPOFFER 报 文 。 接 着 ,客户 机 会 再 发 出 DHCPREQUEST 广播 报 文 ,这 个 请 求 报 文 
中 有 事务 ID 和 客户 选择 接收 的 DHCP 服务 器 地 址 。 

(4) DHCP 服务 器 收 到 DHCPREQUEST 报 文 ,判断 报 文中 服务 器 地 址 是 否 与 自己 的 
地 址 相同 ,如 果 相 同 ,DHCP 服务 器 响应 DHCPACK 报 文 , 并 在 选项 字段 中 增加 了 IP 地 址 
使 用 租 期 选项 ; 如 果 不 同 , 则 服务 器 收回 作出 的 分 配 。 

(5) 客户 机 收 到 DHCPACK 报 文 后 ,判断 DHCP 服务 器 分 配给 自己 的 IP 地 址 是 否 一 
致 ,如 果 是 , 则 表明 客户 机 成 功 获得 IP 地 址 ; 如 果 不 是 , 则 通知 DHCP 服务 器 禁用 这 个 IP 
地 址 ,以 免 引起 IP 地 址 冲突 ,然后 客户 机 从 步骤 (1) 重 新 开始 。 

(6) 客户 机 在 成 功 获取 IP 地 址 后 ,随时 可 以 向 服务 器 发 出 DHCPRELEASE 报 文 , 释 
放 自 己 的 IP 地 址 ,DHCP 服务 器 收 到 DHCPRELEASE 后 ,会 回收 相应 的 IP 地 址 ,进行 重 
新 分 配 。 

(7) 客户 机 根据 IP 地 址 使 用 租 期 自动 进行 租约 更 新 ,DHCP 客户 机 更 新 租约 的 过 程 
如 下 。 

Oa 在 客户 机 租 期 达到 更 新 时 间 T1( 即 租 期 的 50%) 时 ,客户 机 直接 向 提供 租约 的 
DHCP 服务 器 发 送 DHCPREQUEST 报 文 , 请 求 更 新 及 延长 现 有 地 址 的 租约 。 

@ 如 果 DHCP 服务 器 收 到 请 求 , 它 发 送 DHCPACK 给 客户 机 ,更 新 客户 机 的 租约 。 

@ 如 果 客 户 机 无 法 与 提供 租约 的 服务 器 取得 联系 , 则 客户 机 一 直 等 到 租 期 达到 重新 绑 
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定时 间 T2( 即 租 期 的 87. 5%) 时 ,客户 机 进入 到 一 种 重新 申请 的 状态 , 它 向 网 络 上 所 有 的 
DHCP 服务 器 广播 DHCPREQUEST, 以 更 新 现 有 的 地 址 租约 。 

@ 如 有 服务 器 响应 客户 机 的 请 求 ,那么 客户 机 使 用 该 服务 器 提供 的 地 址 信息 ,更 新 现 
有 的 租约 。 

@@ 如 果 租约 过 期 或 无 法 与 其 他 服务 器 通信 ,客户 机 将 无 法 使 用 现 有 的 地 址 租约 。 客 户 
机 返回 到 初始 启动 状态 ,利用 前 面 所 述 的 步骤 重新 获取 IP 地 址 租约 。 

使 用 DHCP 给 网 络 管理 带 来 的 好 处 : 首先 是 避免 了 因 手 工 设置 IP 地 址 及 子 网 掩 码 所 
产生 的 错误 ,同时 也 避免 了 把 一 个 IP 地 址 分 配给 多 台 工 作 站 所 造成 的 地 址 冲突 ,这 样 使 得 
网 络 配置 更 加 安全 而 可 靠 ; 其 次 是 通过 对 DHCP 服务 器 的 设置 ,可 灵活 修改 的 地 址 租 期 ， 
大 大 地 缩短 了 配置 或 重新 配置 网 络 中 工作 站 所 花费 的 时 间 , 即 便 是 DHCP 地 址 租约 的 更 
新 , 亦 由 客户 机 与 DHCP 服务 器 自动 完成 ,无 须 网 络 管理 员 人 工 干 预 ,降低 了 管理 IP 地 址 
设置 的 负担 。 


7.3.2 ”DHCP 的 报 文 格式 


DHCP 协议 从 BOOTP 发 展 而 来 并 兼容 BOOTP 协议 ,其 在 协议 的 许多 特点 上 都 与 
BOOTP 是 一 样 的 ,如 使 用 的 端口 号 乃至 报 文 格式 两 者 几乎 完全 一 样 。DHCP 的 报 文 格式 
如 图 7-8 所 示 。 


0 78 1516 2324 31 
操作 码 ” ”硬件 类 型 硬件 地 址 长 度 | 跳 数 
事务 标识 
秒 数 标志 
客户 IP 地 址 
你 的 IP 地 址 
服务 器 IP 地 址 
网 关 IP 地 址 
客户 主机 硬件 地 址 (16 字 节 ) 
服务 器 主机 名 (64 字 节 ) 
引导 文件 名 (128 字 节 ) 
选项 (可 变 长 度 ) 


















































7-8 ”DHCP 报 文 格式 


DHCP 报 文 各 字段 的 含义 如 下 。 

(1) 操作 码 : 表示 本 次 DHCP 操作 的 类 别 , 占 1 字 节 。 为 1, 表示 请 求 , 即 客户 机 发 送 给 
服务 器 的 报 文 ; 为 2, 表 示 应 答 , 即 服务 器 发 回 给 客户 机 的 报 文 。 

(2) 硬件 类 型 : 表示 物理 网 络 的 类 型 , 占 1 字 节 。 取 值 0x01, 表 示 以 太 网 。 

(3) 硬件 地 址 长 度 : 物理 地 址 的 长 度 , 占 1 字 节 。 对 以 太 网 , 值 为 0x06。 

(4) 跳 数 : 指 报 文 经 过 路 由 器 传送 的 跳 数 , 占 1 字 节 。 如 果 报 文 经 过 网 络 上 路 由 器 转 
发 , 则 每 站 加 1; 若是 在 同一 网 络 内 ,为 0。 

(5) 事务 标识 : 用 作 请 求 与 应 答 匹 配 的 依据 ,是 系统 生成 的 随机 数 , 占 4 字 节 。 

(6) 秒 数 : 由 客户 指定 的 时 间 , 指 客户 端 开始 地 址 获取 和 更 新 进行 后 的 时 间 ( 秒 ), 占 2 
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字 节 。 

(7) 标志 : 表示 服务 器 的 通信 方式 , 占 16 位 。 最 左 一 位 为 1 时 ,表示 服务 器 将 以 广播 方 
式 传送 封包 ; 为 0, 则 为 单 播 方式 ; 其 余 位 保留 ,尚未 使 用 。 

(8) 客户 IP 地 址 : 是 客户 端 想 继续 使 用 之 前 取得 之 IP 地 址 , 则 列 在 这 里 。 

(9) 你 的 IP 地 址 : 是 从 服务 器 送 回 的 、 分 配给 客户 的 IP 地 址 。 

(10) 服务 器 IP 地 址 : 是 客户 端 引 导 过 程 中 使 用 的 DHCP 服务 器 IP 地 址 。 

(11) 网 关 IP 地 址 : 指 如 使 用 DHCP 中 继 , 则 给 出 中 继 代理 的 地 址 ,否则 为 0。 

(12) 客户 主机 硬件 地 址 : 存放 客户 端的 物理 地 址 , 占 16 字 节 。 对 以 太 网 , 则 只 使 用 前 
6 个 字 节 ,其 余 字 节 为 0。DHCP 服务 器 存放 这 个 地 址 并 与 分 配 的 IP 地 址 相关 联 。 

(13) 服务 器 主机 名 : 服务 器 名 称 字符 串 , 占 64 字 节 。 可 选 字段 ,以 0x00 结尾 。 

(14) 引导 文件 名 : 是 指 客户 端 网 络 引导 的 开机 程序 名 称 ,通常 设计 为 稍 后 以 TFTP 传 
送 引导 文件 内 容 , 占 128 字 节 。 可 选 字段 ,以 0x00 结尾 。 

(15) 选项 : 提供 更 多 的 设 定 信息 ,如 子 网 掩 码 、. 路 由 器 .DNS 等 ,可 携带 多 个 选项 。 每 
一 选项 的 格式 都 是 “类 别 一 长 度 一 值 ”, 即 TLV(CTag-Len-Value) 格 式 ,完全 兼容 BOOTP 并 
扩充 了 更 多 选项 。DHCP 定义 的 选项 有 近 百 种 ,完整 的 选项 信息 可 以 查阅 http://www. 
iana. org/assignment/bootp-dhcp-parameters。 其 中 ,DHCP 消息 可 利用 类 别 为 53 的 选项 
来 设 定 类 型 ,各 消息 类 型 如 表 7-4 所 示 。 


表 7-4 DHCP 消息 类 型 (53) 
消息 类 型 取 值 描 述 





DHCPDISCOVER 1 客户 端 发 送 , 用 于 定位 可 用 服务 器 
DHCPOFFER 2 服务 器 发 送 , 响 应 DHCPDISCOVER 
DHCPREQUEST 3 客户 端 发 送 , 从 特定 服务 器 获取 配置 参数 
DHCPDECLINE 4 客户 端 发 送 ,指示 无 效 参 数 

DHCPACK 5 服务 器 发 送 ,分配 网 络 配置 参数 
DHCPNAK 6 客户 端 发 送 ,拒绝 配置 参数 请 求 
DHCPRELEASE 7 客户 端 发 送 , 放 弃 网 络 配置 并 取消 剩余 租用 
DHCPINFORM 8 客户 端 发 送 , 仅 请 求 配置 参数 


表 7-4 中 的 4 个 消息 类 型 1.2、3 和 5, 对 应 着 DHCP 的 发 现 一 提供 一 请 求 一 确认 4 个 
环节 ,反映 了 客户 端 第 一 次 获得 DHCP 服务 的 基本 的 工作 过 程 。 
选项 中 会 用 到 0x00 来 作为 填充 字 节 .本身 没 有 其 他 意义 。 


7.3.3 DHCP 报 文 实例 


为 更 直观 地 了 解 DHCP 的 工作 过 程 和 报 文 结 构 , 下 面 对 使 用 Wireshark 从 网 络 中 获取 
的 DHCP 报 文 实例 进行 分 析 说 明 。 

图 7-9 为 DHCPDISCOVER 报 文 实例 ,图 中 可 以 观察 到 客户 端 发 出 DHCP 请 求 时 的 报 
文 特 点 ,概括 如 下 。 

(1) 报 文 的 源 IP 地 址 为 0. 0. 0. 0, 这 是 合法 的 源 IP 地 址 ,但 由 于 这 时 客户 端 还 没有 获 
得 自己 的 IP 地 址 ,只 能 用 此 地 址 表示 网 络 中 的 一 个 主机 ; 目的 主机 是 广播 地 址 ,这 是 因为 
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DHCP 请 求 是 在 物理 网 络 广播 的 。 


(2) DHCP 报 文 是 封装 在 UDP 报 文中 的 ,客户 端 使 用 UDP 端口 68 ,服务 器 使 用 UDP 
端口 67, 图 7-9 中 Wireshark 把 DHCP 解析 为 Bootstrap Protocol, 即 BOOTP, 因 此 客户 端 


表示 为 bootc, 服 务 器 端 表示 为 boots。 


Ee Ed ER 





he Protocol Length Info 
1 "C00000 0 5.0 5 RF DTSEOVer = TraictTon IO tdid 





‘ 


| Ethernet 11, Src: Grandstr_01:fc:42 (00: 


日 user Datagram Protocol, Src Port: bootpc (68), Dst Port: 
source port: boorpc (68) 
Destination porr: boorps (67) 
Length: 280 

田 Checksum: 0x591f [validation disabled] 

日 Bootstrap Protocol 
Message Type: Boot Request (1) 
Hardware type: Ethernet (Ox01) 
Hardware address length: 6 
Hops: 0 
Transaction ID: Ox00003d1d 
Seconds elapsed: 0 
Bootp flags: Ox0000 (unicast) 
Client IP address: 0.0.0.0 (0. 

Your (client) IP address: 0.0. 
Next Server Ip address: 0.0.0. 
Relay agent IP address: 0.0.0.0 0 
Client MAC address: Grandsrr_01: 
Client hardware address padding: 
Server host name not given 

Boot file name not given 

Magic cookie: Dhcp 


Length: 1 
DHCP: Discover (1) 
@ option: (61) Client identifier 
@ option: (50) Requested IP Address 
日 opcion: (55) Paramerer Request List 


Parameter Request List Item: (1) Subnet Mask 

parameter Request List Item: (3) Router 

Parameter Request List Item: (6) Domain Name Server 

Paramerer Request List Item: (42) Network Time prorocol Servers 
日 oprion: (255) End 
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(3) 消息 类 型 解析 为 Boot Request(1) ,表示 为 引导 请 求 或 DHCP 请 求 ,这 也 就 是 报 文 
的 标志 字段 ,表明 这 是 客户 端 发 给 服务 器 端的 报 文 ,而 报 文 的 具体 类 型 在 图 中 加 亮 部 分 的 


option(53)DHCP Message Type 处 标示 ,可 以 看 到 这 里 是 DHCP: Discover(1) 。 


(4) 硬件 类 型 为 1 ,硬件 地 址 长 度 为 6, 这 表明 物理 网 络 是 以 太 网 。 


(5) 由 于 这 是 客户 端 发 出 的 第 一 次 请 求 一 一 DHCP 服务 器 的 报 文 ,所 以 所 有 有 关 IP 地 
址 的 域 都 是 0.0.0.0, 需 要 发 现 服务 器 来 提供 。 地 址 域 中 只 有 本 机 的 MAC 地 址 有 填充 。 

(6) 选项 部 分 有 5 条 内 容 , 其 中 包含 选项 的 结束 标志 End(0xff)。 需 要 特别 注意 的 是 ， 
所 有 的 选项 都 是 按 TLV 的 格式 来 组 织 数据 的 。 图 中 抓 包 的 原始 数据 加 亮 部 分 可 以 看 到 内 


容 为 “35 01 01”, 表 示 的 正 是 类 型 为 53 的 DHCP 消息 ,长 度 为 1 字 节 , 值 为 0x01。 
个 选项 都 是 同样 的 格式 来 组 织 的 。 特 别 要 注意 的 是 ,在 选项 55 参数 请 求 (Parameter 


Request List) 中 可 以 看 到 客户 端 向 服务 器 请 求 的 参数 内 容 。 


其 他 的 各 


图 7-10 为 DHCPOFFER 报 文 实例 ,在 此 可 观察 到 服务 器 端 发 出 DHCP 提供 时 的 报 文 
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特点 。 需 注意 观察 以 下 几 点 。 





2 0.000295 192.168.0.1 192.168.0.10 342 phCP offer  - Transaction ID 0x3d1d 








下 Frame 2: 342 bytes on wire (2736 bits), 342 bytes captured (2736 bits) 
Ethernet II, Src: DellComp_ad:f1:9b (00:08:74:ad:f1:9b), Dst: Grandsrr_01:fc:42 (00:0b:82:01:fc:42) 
国 
日 U5er Datagram Proroco1，Src Port: bootps (67), Dst Port: bootpc (68) 
Source port: boorps (67) 
Destination port: boorpc (68) 
Length: 308 
@ Checksum: 0x2233 [validation disabled] 
日 Boorsrrap Prorocol 
Message Type: Boot Reply (2) 
Hardware type: Ethernet (0x01) 
Hardware address length: 6 
Hops: 0 
Transaction ID: Ox00003d1d 
Seconds elapsed: 0 
Bootp flags: Ox0000 (unicast) 
Client Ip address: 0.0.0.0 (0.0.0.0) 





Next. server IP address: 192.168.0.1 (192.168.0.1) 
Relay agent IP address: 0.0.0.0 (0.0.0.0) 
Client MAC address: Grandsrr_01:fc:42 (00:0b:82:01:fc:42) 
Client hardware address padding: 
Server hosr name nor given 
Boor file name not given 
Magic cookie: DHCP 
日 oprion: (53) DHCP Message Type 
Length: 1 
DHCP: offer (2) 
国 Option: (1) Subnet Mask 
田 oprion: (58) Renewal Time value 
@ Option: (59) Rebinding Time Value 
Option: (51) IP Address Lease Time 
日 oprion: (54) DHCP Server Identifier 
Length: 4 
DHCP Server Identifier: 192.168.0.1 (192.168.0.1) 
国 option: (255) End 





i0090 90 00 90 00_00_00_00_00 0n on on 00 00_00_00 


@ [rou (gen P aoress (booto vo), as 





7-10 DHCP OFFER 报 文 实例 


(1) 首先 注意 到 图 7-10 中 DHCPOFFER 报 文 的 事务 ID 和 图 7-9 中 DHCPDISCOVER 的 
事务 ID 是 一 样 的 (0x00003d1d) ,表明 这 是 一 组 关联 的 DHCP 操作 。 

(2) IP 报 文 是 单 播 的 , 即 DHCP 服务 器 向 预 分 配 的 IP 地 址 发 出 提供 报 文 ,尽管 这 时 客 
户 端 还 没有 IP 地 址 。 

(3) 消息 类 型 解析 为 Boot Reply(2) ,表示 为 DHCP 响应 , 即 报 文 的 标志 字段 仅 表明 这 
是 服务 器 端 发 给 客户 端的 报 文 ,而 报 文 的 具体 类 型 在 选项 option(53)DHCP Message Type 
处 标示 ,可 以 看 到 这 里 是 DHCP: Offer(2) 。 

(4) DHCP 服务 器 分 配给 客户 端的 IP 地 址 在 Your (client) IP address 处 给 出 ,这 里 是 
192. 168. 0. 10,DHCP 服务 器 的 地 址 在 Next server IP address 处 ,为 192. 168.0. 1。 

(5) 接 下 来 在 选项 中 可 以 看 到 子 网 掩 码 (255. 255. 255. 0)\ 租 期 的 更 新 时 间 、 重 新 绑 定 
时 间 和 租 期 ,还 有 服务 器 的 IP 地 址 。 

继续 上 述 的 DHCP 协议 工作 过 程 ,可 以 得 到 图 7-11 的 DHCPREQUEST 报 文 实例 ,从 
图 中 可 以 观察 到 客户 端 在 获得 DHCP 服务 器 的 OFFER 后 发 出 DHCP 请 求 报 文 的 特点 。 
需要 特别 注意 的 事项 如 下 。 

(1) 客户 端的 DHCP REQUEST 报 文 是 广播 的 , 源 IP 地 址 仍然 是 0. 0. 0. 0, 说 明 客户 
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端 还 没有 得 到 自己 的 IP 地 址 。 事务 ID 有 变化 (0x00003dle) ,说明 这 是 重新 发 起 的 一 个 


|| Hle Edt Vew Go Capture Anayze Statstics Telephony TIoos Intemas Hep 
Source Destination Protocol 。 Length Info 
3 0.070031 0.0.0.0 255.255.255.255 DHCP 314 DHCP Request - Transaction ID 0x3dle 











Message type: Boot Request (1) 
Hardware type: Ethernet (Ox01) 
Hardware address length: 6 
Hops: 0 
Transaction ID: 0x00003dle 
Seconds elapsed: 0 
Bootp flags: Ox0000 (unicast) 
Client IP address: 0.0.0.0 (0.0.0.0) 
Your (client) ITP address: 0.0.0.0 (0. 
Next server IP address: 0. (0.0. 
Relay agent IP address: 0.0.0.0 (0.0.0.0) 
Client MAC address: Grandsrr_01:fc:42 (00:0b:82:01:fc:42) 
Client hardware address padding: 
Server host name not given 
Boor file name not given 
Magic cookie: DHCP 

(53) DHCP Message Type 


.0.0.0) 
.0.0) 
.0.0) 


‘0. 
0. 
Cc: 


(61) Client identifier 

Lenyth; 7 

Hardware type: Ethernet (0x01) 

Client MAC address: Grandstr_01:fc:42 (00:0b:82:01:fc:42) 
日 Option: (50) Requested ITP Address 

Length: 4 

Requested IP Address: 192.168.0.10 (192.168.0.10) 
日 oprion: (54) DHcP server Identifier 

Length: 4 

DHCP Server Identifier: 192.168.0.1 (192.168.0.1) 
日 oprion: (55) Paramerer Request List 

Length: 4 

Paramerer Request List Item: (1) Subner Mask 

Parameter Request List Item: (3) Router 

Parameter Request List Item: (6) Domain Name Server 

parameter Request List Item: (42) Network Time Protocol Servers 
国 oprion: (255) End 








图 7-11 DHCP REQUEST 报 文 实例 


(2) 消息 类 型 解析 为 Boot Request(1) ,表示 为 DHCP 请 求 , 表 明 这 是 客户 端 发 给 服务 
器 端的 报 文 ,而 报 文 的 具体 类 型 是 DHCP: Request(3)。 

(3) 选项 option(50) Request IP Address 处 给 出 了 客户 端 希望 得 到 的 IP 地 址 (192. 
168. 0. 10) 。 

(4) 选项 option(54)DHCP Server Identifier 则 指出 了 客户 端 认定 的 DHCP 服务 器 的 
IP 地 址 (192. 168. 0. 1) 。 

(5) 选项 option(55) 的 参数 请 求 列表 列 出 了 客户 端 可 能 从 服务 器 得 到 的 参数 类 型 ,但 
请 求 报 文中 是 空 的 ,没有 值 ,如 子 网 掩 码 。 

继续 考察 DHCP 服务 器 对 上 述 请 求 报 文 返回 的 确认 报 文 DHCPACK, 如 图 7-12 所 示 。 
从 报 文中 可 观察 到 以 下 信息 。 

(1) DHCP ACK 报 文 是 单 播 的 , 源 IP 地 址 是 DHCP 服务 器 的 IP 地 址 192. 168. 0. 1， 
目的 IP 地 址 是 192. 168. 0. 10, 正 是 客户 端 希望 DHCP 服务 器 分 配给 自己 的 IP 地址 。 尽 管 
这 时 客户 端的 协议 栈 还 没有 完全 确认 自己 的 IP 地 址 ,但 在 接收 这 个 确认 后 则 获得 了 自己 的 
IP 地 址 和 相关 设置 。 


SNzy TCP/IP 协 议 分 析 教 程 与 实验 


168. 


FE 











tte em hint 





| [Ee Bot Vew Go Cptwre Anae Statebcs Telephony Took Intermak He 








INo. Time Source Destination Protocol 。 Length Info 
4 0.070345 192.168.0.1 192.168.0.10 DHcp 342 DHCP ACK - Transaction ID 0x3dle 
一 








图 
a User Datagram Protocol, Src Port: bootps (67), Dst Port: boorpc (68) 
日 Boorstrap Protocol 

Message Type: Boot Reply (2) 

Hardware type: Ethernet (0x01) 

Hardware address length: 6 

Hops: 0 

Transaction ID: 0x00003dle 

Seconds elapsed: 0 


田 Bootp flags: 0x0000 (unicast) 
client IP address: 0.0.0.0 (0.0.0.0) 
Your (client) IP address: 192.168.0.10 (192.168.0.10) 
Next server IP address: 0.0.0.0 (0.0.0.0) 
Relay agent IP address: 0.0.0.0 (0.0.0.0) 
Client MAC address: Grandstr_01:fc:4. 


:42 (00:0b:82:01:fc:42) 
Client hardware address padding: 00000000000000000000 
Server host name not given 
Boot file name not given 
Magic cookie: DHCP 
日 option: (53) DHCP Message Type 
Length: 1 


日 CT EN ED CTE TL 58) Renewal Time Value 


Length: 4 

Renewal Time Value: (18005) 30 minutes 
日 option: (59) Rebinding Time Value 

Length: 4 

Rebinding Time Value: (3150s) 52 minutes, 30 seconds 
日 oprion: (51) IP Address Lease Time 

Length: 4 

IP Address Lease Time: (36005) 1 hour 
日 option: (54) DHCP Server Identifier 

Length: 4 

DHCP Server Identifier: 192.168.0.1 (192.168.0.1) 
日 option: (1) Subnet Mask 

Length: 4 

Subnet Mask: 255.255.255.0 (255.255.255.0) 
BOption: (255) End 





oprion End: 255 


padding 
0 9000 0 0 3 0 
0120 00 07 08 3b 04 00 00 Oc 4e 33 04 00 00 0e 10 36 
0130 04 c0 a8 00 ol 01 04 ff ff ff 00 ff 00 00 00 00 
0140 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
0150 00 00 00 00 00 00 





7-12 ”DHCP ACK 报 文 实例 


(2) 报 文中 Your(client) IP Address 给 出 了 DHCP 服务 器 租用 给 客户 的 IP 地 址 192. 


0. 10。 
(3) 报 文 的 具体 类 型 是 DHCP: ACK(5)。 


(4) 选项 中 与 地 址 租用 时 间 有 关 的 3 项 : option(58)Renewal Time Value 为 30 分 钟 ， 
即 更 新 租约 时 间 Tl 为 租 期 的 50% 时 间 ; option(59)Rebinding Time Value 为 52. 5 分 钟 ， 
即 重新 绑 定 时 间 T2 为 租 期 的 87. 5% 时 间 ; option(51)IP Address Lease Time 为 1 小 时 。 


(5) 选项 中 还 可 看 到 服务 器 的 IP 地 址 和 分 配给 客户 的 子 网 掩 码 。 
还 有 其 他 类 型 的 DHCP 报 文 , 这 里 就 不 再 给 出 实例 了 。 本 章 实验 部 分 有 关于 


的 内 容 , 请 读者 在 真实 网 络 环境 中 去 捕获 分 析 。 


(1 SNMP 协议 


为 了 统一 有 效 地 管理 各 种 异 构 网 络 及 不 同 的 网 络 设备 ,使 网 络 管理 标准 化 .IETF 针对 
Internet 网 络 管理 制定 了 简单 网 络 管理 协议 (Simple Network Management Protocol， 


DHCP 
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SNMP)。SNMP 的 初始 版 本 发 布 于 1988 年 。 由 于 它 采 用 的 数据 结构 简单 ,易于 实现 ,所 以 
一 推出 就 得 到 了 广泛 的 应 用 和 支持 ,特别 是 很 快 地 得 到 了 数 百 家 厂商 的 支持 ,包括 IBM、 
HP、SUN 等 大 公司 和 厂商 。 目 前 SNMP 已 成 为 网 络 管理 领域 中 事实 上 的 工业 标准 ,并 被 
广泛 支持 和 应 用 ,大 多 数 网 络 管理 系统 和 平台 都 是 基于 SNMP 的 。 

SNMP 是 最 早 提 出 的 网 络 管理 协议 之 一 ,其 前 身 是 简单 网 关 监 控 协 议 (Simple Gateway 
Monitoring Protocol,SGMP) ,用 来 对 通信 线路 进行 管理 。 随 后 ,人 们 对 SGMP 进行 了 很 大 
的 修改 ,特别 是 加 入 了 符合 Internet 定义 的 SMICStructure of Management Information , 管 
理 信息 结构 ) 和 MIB(Management Information Base, 管 理 信息 库 ) ,改进 后 的 协议 就 是 著名 
的 SNMP。SNMP 的 目标 是 管理 互联 网 上 众多 厂家 生产 的 软 硬 件 平台 ,因此 SNMP 受 
Internet 标准 网 络 管理 框架 的 影响 也 很 大 。 

最 初 的 SNMP 版 本 即 SNMP v1 有 不 少 缺 点 ,主要 表现 为 两 个 方面 : 一 是 管理 功能 不 
完善 ,效率 不 高 ,如 难以 实现 大 量 的 数据 传输 ,不 支持 管理 站 与 管理 站 间 的 通信 ; 二 是 缺乏 
有 效 的 安全 机 制 。 为 了 解决 这 些 问 题 ,1993 年 发 布 了 SNMP v2, 通 过 扩展 数据 类 型 、 增 加 
协议 操作 类 型 等 方法 增强 了 管理 功能 ,同时 在 安全 方面 也 提出 了 解决 方案 。 但 由 于 其 实现 
较 复 杂 , 所 以 人 们 只 接受 了 其 修改 版 本 SNMP v2c, 又 称 为 “基于 团体 (Community) 的 
SNMP v2”, 即 只 接受 了 其 增加 的 管理 功能 ,而 在 安全 上 仍然 采用 SNMP vl 基于 团体 的 认 
证 方式 。 为 弥补 安全 方面 的 不 足 ,1998 年 ,IETF 推出 的 SNMP v3 综合 了 前 面 各 个 版 本 的 
技术 ,在 其 基础 上 定义 了 一 套 安 全 和 访问 控制 机 制 及 远程 配置 功能 ,解决 了 一 直 困 扰 
SNMP 的 安全 问题 ,促进 了 SNMP 的 发 展 。 最 重要 的 进展 就 是 RMON (Remote Monitor， 
远程 监控 ) 能 力 的 开发 ,使 得 网 络 管理 不 只 是 管理 单独 的 设备 ,而 可 以 监控 整个 子 网 。 

与 SNMP 发 展 有 关 的 RFC 文档 比较 多 ,最 主要 的 有 RFC 1155、RFC 1157、RFC 1212 
和 RFC 1213, 定 义 了 SNMP v1; RFC 2578 一 2580 定义 了 SNMP v2; RFC 2270-RFC 2275 
定义 了 SNMP v3。 在 2002 年 ,IETF 最 终 发 布 了 包括 SNMP v1/v2c/v3 各 个 功能 模块 在 内 
的 完整 规范 RFC 3410 一 3418 ,并 连同 之 前 的 RFC 2576/RFC 2578 一 2580, 一 起 通过 了 
IESG 的 认证 ,成 为 Internet 网 络 管理 的 标准 规范 。 

最 终 的 SNMP 规范 保留 了 对 SNMP v1/SNMP v2c 的 支持 ,就 是 给 网 络 管理 员 和 供应 
商 以 充分 的 选择 空间 来 适应 网 络 的 不 同 环境 或 应 用 的 具体 要 求 。 因 此 ,本 节 对 SNMP 协议 
工作 原理 的 学 习 仍 然 以 SNMP vl 为 基础 内 容 , 并 适当 介绍 SNMP v2 和 SNMP v3 的 内 容 。 


7.4.1 SNMP 体系 结构 


SNMP 的 体系 结构 是 围绕 着 以 下 4 个 概念 和 目标 进行 设计 的 。 

(1) 保持 管理 代理 (agent) 的 软件 成 本 尽 可 能 的 低 。 

(2) 最 大 限度 地 保持 远程 管理 的 功能 ,以 便 充分 利用 Internet 的 网 络 资源 。 
(3) 体系 结构 必须 有 扩充 的 余地 。 

(4) 保持 SNMP 的 独立 性 ,不 依赖 于 具体 的 计算 机 、 网 关 和 网 络 传输 协议 。 
在 后 来 的 改进 中 ,又 加 入 了 保证 SNMP 体系 本 身 安全 性 的 目标 。 


1. SNMP 管理 结构 及 工作 机 制 
简单 网 络 管理 协议 (SNMP) 提 供 了 一 个 标准 化 的 网 络 管理 框架 ,使 得 互联 网 网 络 的 监 
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视 和 控制 成 为 可 能 。SNMP 是 一 个 简单 但 可 扩展 的 标准 集 ,采用 管理 站 /代理 模式 。SNMP 
的 成 功 主要 在 于 它 的 简单 性 、 灵 活性 和 可 扩展 性 。 

1) 网 络 管理 模式 

网 络 运行 中 心 对 网 络 及 其 设备 的 管理 有 3 种 方式 : 本 地 终端 方式 、 远 程 telnet 命令 方 
式 和 基于 SNMP 的 管理 站 /代理 方式 。 

(1) 本 地 终端 方式 : 通过 被 管 设 备 的 RS-232 接口 与 网 管 机 相连 接 , 进 行 相应 的 监控 、 
配置 . 计 费 ,性 能 和 安全 等 管理 的 方式 。 这 种 方式 一 般 适 用 于 管理 单 台 重要 的 网 络 设备 ,如 
路 由 器 等 。 

(2) 远程 telnet 命令 方式 。 此 方式 通过 计算 机 网 络 对 已 知 地 址 和 管理 口令 的 设备 进 
行 远 程 登录 ,并 进行 各 种 命令 操作 和 管理 。 这 种 方式 也 只 适用 于 对 网 络 中 的 单 台 设 备 进 
行 管 理 。 但 与 本 地 终端 方式 管理 的 区 别 是 远程 telnet 命令 方式 可 以 异地 操作 ,不 必 亲 临 
现场 。 

(3) 基于 SNMP 的 管理 站 /代理 方式 。 在 SNMP 管理 模型 中 ,有 3 个 基本 组 成 部 分 : 
管理 站 (Manager) ,代理 (Agent) 和 管理 信息 库 (MIB)。SNMP 的 管理 模式 如 图 7-13 所 示 。 


MIB MIB MIB 















































主机 网 关 终端 服务 器 





图 7-13 SNMP 网 络 管理 基本 模式 


管理 站 也 叫 管理 进程 ,负责 完成 各 种 网 络 管理 功能 ,通过 各 设备 中 的 代理 实现 对 网 络 内 
的 各 种 设备 .设施 和 资源 的 控制 。 另 外 ,操作 人 员 通 过 管理 进程 对 全 网 进行 管理 。 管 理 进程 
可 以 通过 图 形 用 户 接口 ,以 易 操作 的 方式 显示 各 种 网 络 信息 、 网 络 中 各 管理 代理 的 配置 图 
等 。 有 时 ,管理 进程 也 会 对 各 个 代理 中 数据 集中 存储 ,以 备 事后 分 析 。 

被 管 设备 端 和 管理 相关 的 软件 叫做 代理 程序 或 代理 进程 ,简称 代理 ,通常 由 网 络 设备 的 
生产 商 在 被 管 设备 中 配置 实现 ,这 样 的 设备 也 叫做 可 网 管 的 设备 。 

管理 信息 库 MIB 是 一 个 概念 上 的 数据 库 , 它 是 由 管理 对 象 组 成 的 ,每 个 代理 管理 MIB 
中 属于 本 地 的 管理 对 象 ,各 代理 控制 的 管理 对 象 共同 构成 全 网 的 管理 信息 库 。 每 个 代理 拥 
有 自己 的 本 地 MIB, 对 本 地 MIB 的 基本 操作 一 是 读 取 MIB 中 各 变量 值 ,二 是 修改 MIB 中 
各 变量 值 ,这 里 的 变量 就 是 管理 对 象 。 

2) SNMP 网 络 管理 结构 

基于 TCP/IP 网 络 管理 结构 是 在 图 7-13 的 网 络 管理 模型 的 基础 上 增加 网 络 管理 协议 
构成 , 即 由 4 个 要 素 组 成 : 管理 站 ,管理 代理 ,管理 信息 库 及 网 络 管理 协议 。 

管理 站 是 典型 的 独立 设备 ,是 网 络 管理 员 到 网 络 管理 系统 的 接口 。 管 理 站 至 少 应 有 : 
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。 一 系列 用 于 数据 分 析 ,故障 修复 等 的 管理 应 用 程序 。 

。 网 络 管理 员 用 来 监视 和 控制 网 络 的 接口 。 

。 把 网 络 管理 员 的 要 求 翻译 成 网 络 中 实际 监视 或 控制 的 能 力 。 

。 从 网 络 中 所 有 被 管理 设备 提取 出 来 的 信息 库 。 

另外 ,管理 代理 用 来 响应 管理 站 的 信息 或 操作 请 求 , 并 以 异步 方式 向 管理 站 提供 重要 但 
未 经 请 求 的 信息 。 

管理 站 能 使 代理 执行 一 定 的 操作 ,或 者 通过 修改 特定 的 变量 来 改变 代理 中 配置 的 设置 。 
管理 站 和 代理 通过 网 络 管理 协议 联系 起 来 。 可 以 认为 SNMP 就 是 由 两 部 分 组 成 : 一 部 分 
是 管理 信息 库 结 构 的 定义 , 另 一 部 分 是 访问 管理 信息 库 的 协议 规范 。 

网 络 中 的 资源 能 够 通过 用 对 象 来 表征 而 实现 管理 。 每 一 个 对 象 基本 上 就 是 一 个 可 以 表 
征 为 代理 某 方面 特征 的 变量 。 对 象 的 集合 称 为 管理 信息 库 MIB, 即 网 络 管理 信息 存储 在 
MIB 中 。 作 为 访问 集 ,MIB 的 功能 就 是 为 管理 站 指定 代理 。 这 些 对 象 在 特定 类 别 的 系统 中 
被 标准 化 。 管 理 站 通过 获取 MIB 对 象 的 值 来 执行 监视 功能 。 

代理 的 MIB 不 需要 包括 Internet 定义 的 MIB 的 全 部 内 容 , 而 只 需要 包括 与 本 地 设备 
或 设施 有 关 的 管理 对 象 。 

SNMP 中 提供 了 在 管理 和 代理 之 间 传 递 信息 的 操作 , 即 SNMP 协议 支持 的 服务 原 语 ， 
这 些 原 语 用 于 管理 站 和 代理 之 间 的 通信 ,以 便 查询 和 改变 管理 信息 库 中 的 内 容 。Get 检索 
数据 ,Set 改变 数据 ,而 GetNext 提供 扫描 MIB 树 和 连续 检索 数据 的 方法 ,Trap 则 提供 从 代 
理 进 程 到 管理 站 的 异步 报告 机 制 。 

3) SNMP 收集 数据 的 方法 

SNMP 从 被 管理 设备 中 收集 数据 有 两 种 方法 : 一 种 是 只 轮 询 (polling-only) 的 方法 , 另 
一 种 是 基于 中 断 (interrupt-based) 的 方法 。 

如 果 只 使 用 只 轮 询 的 方法 ,那么 网 络 管理 工作 站 总 是 在 控制 之 下 。 而 这 种 方法 的 缺陷 
在 于 信息 的 实时 性 ,尤其 是 错误 的 实时 性 。 多 久 轮 询 一 次 ,并 且 在 轮 询 时 按照 什么 样 的 设备 
顺序 呢 ? 如 果 轮 询 间 隔 太 小 ,那么 将 产生 太 多 不 必要 的 通信 量 ; 如 果 轮 询 间隔 太 大 ,并 且 在 
轮 询 时 顺序 不 对 ,那么 关于 一 些 大 的 灾难 性 的 事件 的 通知 又 会 太 慢 ,这 就 违背 了 积极 主动 的 
网 络 管理 目的 。 

当 有 异常 事件 发 生 时 ,基于 中 断 的 方法 可 以 立即 通知 网 络 管理 工作 站 (在 这 里 假设 该 设 
备 还 没有 崩溃 ,并 且 在 被 管理 设备 和 管理 工作 站 之 间 仍 有 一 条 可 用 的 通信 途径 )。 然 而 ,这 
种 方法 也 是 有 缺陷 的 。 首 先 , 产 生 错 误 或 陷阱 需要 系统 资源 。 如 果 自 陷 必 须 转发 大 量 的 信 
息 ,那么 被 管理 设备 可 能 不 得 不 消耗 更 多 的 时 间 和 系统 资源 来 产生 自 陷 ,从 而 影响 了 它 执行 
主要 的 功能 。 

而 且 , 如 果 几 个 同类 型 的 自 陷 事 件 接连 发 生 , 那 么 大 量 网 络 带 宽 可 能 将 被 相同 的 信息 所 
占用 。 尤 其 是 如 果 自 陷 是 关于 网 络 拥挤 问题 的 时 候 ,事情 就 会 变 得 特别 糟糕 。 克 服 这 一 缺 
陷 的 一 种 方法 就 是 对 于 被 管理 设备 来 说 .应 当 设 置 关 于 什么 时 候 报 告 问题 的 阔 值 
(threshold) 。 但 是 这 种 方法 可 能 再 一 次 违背 了 网 络 管理 的 原则 ,因为 设备 必须 消耗 更 多 的 
时 间 和 系统 资源 ,才能 决定 一 个 自 陷 是 否 应 该 被 产生 。 

以 上 两 种 方法 的 结合 : 面向 自 陷 的 轮 询 方法 (trap-directed polling) 可 能 是 执行 网 络 管 
理 最 为 有 效 的 方法 。 一 般 来 说 ,网 络 管理 工作 站 轮 询 在 被 管理 设备 中 的 代理 来 收集 数据 ,并 
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且 在 控制 台 上 用 数字 或 图 形 的 表示 方式 来 显示 这 些 数 据 。 被 管理 设备 中 的 代理 可 以 在 任何 
时 候 向 网 络 管理 工作 站 报告 错误 情况 ,如 预 设 阔 值 越界 程度 等 。 代 理 并 不 需要 等 到 管理 工 
作 站 为 获得 这 些 错误 情况 而 轮 询 的 时 候 才 会 报告 ,这 些 错误 情况 就 是 SNMP 自 陷 (trap) 。 

在 这 种 结合 的 方法 中 , 当 一 个 设备 产生 了 一 个 自 陷 时 ,可 以 使 用 网 络 管理 工作 站 来 查询 
该 设备 (假设 它 仍然 是 可 到 达 的 ) ,以 获得 更 多 的 信息 。 


2. SNMP 协议 体系 结构 


SNMP 协议 的 基本 体系 结构 是 一 种 非 对 称 的 结构 , 即 配置 为 管理 站 的 管理 实体 和 配置 
为 代理 的 代理 实体 在 功能 和 协议 支持 的 操作 上 是 不 同 的 ,如 图 7-14 所 示 。 
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7-14 SNMP 基本 体系 结构 


管理 站 一 般 由 专用 设备 构成 ,配置 管理 实体 和 一 组 管理 应 用 程序 ,提供 网 络 的 配置 、 性 
能 .故障 .安全 和 计 费 管理 ,形成 网 络 管理 系统 。 网 络 管理 系统 具有 与 操作 员 接 口 的 功能 。 
代理 是 配置 代理 实体 的 各 类 设备 ,如 主机 、 网 桥 、 路 由 器 或 网 关 等 。 在 代理 实体 的 支持 下 , 响 
应 管理 员 的 操作 请 求 , 对 系统 中 各 类 资源 的 被 管 对 象 进行 访问 。 

管理 者 和 代理 之 间 共 享 的 管理 信息 ,由 代理 系统 中 的 MIB 给 出 , MIB 的 类 有 标准 的 定 
义 ,包括 管理 信息 的 种 类 ,标识 符 、 数 据 类 型 。 各 个 代理 系统 中 的 被 管 对 象 即 构成 该 系统 的 
MIB 实例 ,该 MIB 是 标准 的 MIB 的 一 个 具体 实现 。 对 于 管理 站 ,代理 通常 只 提供 本 系统 
MIB 的 一 个 子 集 允许 其 访问 ,这 个 子 集 被 称 为 MIB View。 管 理 站 中 配置 了 一 个 管理 数据 
库 MDB(Management Data Base) ,用 来 存放 从 各 个 代理 获得 的 管理 信息 的 值 ,以 便 管理 应 
用 程序 的 使 用 。 要 注意 MDB 和 MIB 是 不 同 的 , MDB 是 被 管 对 象 值 的 集合 ,是 实际 的 数据 
库 ; 而 MIB 是 抽象 的 ,虚拟 的 数据 库 。 

SNMP 协议 是 为 网 络 管理 服务 而 定义 的 应 用 协议 ,实现 网 络 管理 系统 和 代理 之 间 的 异 
步 请 求 和 响应 ,对 等 实体 间 交 换 的 SNMP Message 即 SNMP 报 文 。 

SNMP 协议 的 机 制 是 一 种 由 管理 站 周期 性 地 发 送 轮 询 信息 给 被 管理 设备 的 管理 代理 ， 
以 实时 监视 和 维持 网 络 资源 ,同时 又 采用 了 被 管理 设备 在 发 生 特 殊 问 题 时 采用 异常 事件 报 
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告 网 管 站 的 工作 方式 。 这 种 方式 使 得 SNMP 成 为 了 一 种 实现 简单 .易于 维护 和 非常 有 效 的 
管理 协议 。 

从 图 7-14 中 可 以 看 到 ,由 于 SNMP 依赖 于 UDP, 所 以 SNMP 本 身 也 是 无 连接 协议 。 
在 管理 站 和 其 代理 之 间 不 维持 连续 连接 ,相反 每 一 次 信息 交换 都 是 管理 站 和 代理 之 间 的 独 
立行 为 。SNMP 选择 UDP 协议 是 因为 UDP 效率 高 ,网 络 管理 本 身 不 会 太 多 增加 网 络 负 
载 ,这 符合 网 络 管理 的 基本 原则 ,也 是 SNMP 获得 广泛 应 用 的 原因 之 一 。 

图 7-14 还 表明 了 SNMP 采用 5 种 通信 原 语 来 完成 其 工作 机 制 , 相 应 的 就 有 5 种 消息 类 
型 。 其 具体 实现 如 下 。 

(1) GetRequest 从 拥有 SNMP 代理 的 网 络 设备 中 检索 信息 。 

(2) GetResponse 是 SNMP 代理 对 管理 站 GetRequest 消息 的 响应 。 可 以 交换 许多 信 
息 , 如 系统 的 名 字 、 系 统 自 启动 后 正常 运行 的 时 间 和 系统 中 的 网 络 接口 数 等 。 

(3) GetNextRequest 访问 网 管 代理 ,并 从 MIB 树 上 检索 指定 对 象 的 下 一 个 对 象 实例 。 

(4) SetRequest 对 一 个 设备 中 的 参数 进行 远程 配置 。 可 以 设置 设备 的 名 字 , 在 管理 上 
关 掉 一 个 端口 或 清除 一 个 地 址 解析 表 中 的 项 。 

(5) Trap 是 SNMP 代理 发 送 给 管理 站 的 非 请 求 消息 。 这 些 消息 通知 服务 器 发 生 了 一 
个 特定 的 事件 。 

可 以 看 到 ,SNMP 协议 从 管理 站 发 给 代理 的 消息 有 3 种 ,用 于 请 求 读 取 (GetRequest， 
GetNextRequest) 或 修改 (SetRequest) 被 管 对 象 处 的 管理 信息 ; 从 代理 发 给 管理 站 的 信息 
有 2 种 ,用 于 回应 管理 站 对 被 管 对 象 的 信息 的 查询 (GetResponse) 或 主动 向 管理 站 报告 代理 
系统 中 发 生 的 事件 (Trap)。 

较 少 的 消息 类 型 是 SNMP 设计 的 特点 , 随 着 SNMP v2 和 SNMP v3 的 推出 ,SNMP 消 
息 的 类 型 也 有 增加 或 变化 。 


7.4.2 管理 信息 结构 
1. OSI 管理 信息 结构 


采用 特殊 结构 的 树 来 唯一 确定 一 个 管理 对 象 是 OSI 的 管理 模式 ,而 Internet 也 应 用 了 
这 种 管理 信息 结构 。SNMP 中 对 管理 对 象 的 定义 和 标识 都 采用 OSI 的 管理 信息 结构 
(Structure Management Information, SM 了 ) 来 进行 。 图 7-15 表示 了 ISO 标准 的 注册 对 象 树 
中 的 对 象 标识 。 

OSI 管理 信息 库 注册 对 象 树 的 作用 有 以 下 3 个 。 

(1) 表示 管理 和 控制 关系 。 从 图 7-15 可 看 出 ,上 层 的 中 间 结 点 是 某 些 组 织 机 构 的 名 
字 , 说 明 这 些 机构 负 责 它 下 面 的 子 树 信息 的 管理 和 审批 。 有 些 中 间 结 点 虽然 不 是 组 织 机 构 
名 ,但 已 委托 给 某 个 组 织 机 构 代 管 ,如 org(3) 由 ISO 代 管 ,而 internet(1) 由 IAB 代 管 等 。 树 
根 没 有 名 字 ,默认 为 ASN. 1(Abstract Syntax Notation One, 抽 象 语法 表示 法 1) 的 表示 。 

(2) 提供 了 结构 化 的 信息 组 织 技术 。 下 层 的 中 间 节 点 代表 的 子 树 是 与 每 个 网 络 资源 或 
网 络 协议 相关 的 信息 集合 。 例 如 ,有 关 IP 协议 的 管理 信息 都 放置 在 ip(4) 子 树 中 。 这 样 , 沿 
着 树 层 次 访问 相关 信息 就 很 方便 。 

(3) 提供 了 对 象 命名 机 制 。 树 中 每 个 节点 都 有 一 个 分 层 的 编号 。 叶 子 节点 代表 实际 的 
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7-15 管理 信息 库 中 的 注册 对 象 树 


管理 对 象 ,从 树 根 到 树叶 的 编号 串联 起 来 ,用 圆 点 隔 开 , 就 形成 了 管理 对 象 的 全 局 标识 , 例 
如 ,internet 的 标识 符 是 1. 3. 6. 1 ,或 者 写 为 {iso(1) org(3) dod(6) 1) 。 

在 iso 节点 下 面 ,一 个 子 树 用 于 其 他 组 织 ,其 中 一 个 是 dod(Department of Defense, 美 
国 国 防 部 )。RFC 1155 确定 一 个 dod 下 的 子 树 将 由 IAB 管理 。SMI 在 internet 节点 下 面 
定义 了 4 个 节点 。 

(1) directory: 为 将 来 使 用 051 目录 (X. 500) 保 留 。 

(2) mgmt: 用 于 由 IAB 批准 的 所 有 管理 对 象 。Mib-2 是 mgmt 的 第 一 个 子 节点 。 在 
mgmt 子 树 中 包含 着 由 IAB 批准 的 管理 信息 库 的 定义 。 到 目前 为 止 ,已 发 展 了 两 种 版 本 的 
MIB, 即 mib-1 和 mib-2。 两 种 版 本 都 在 子 树 中 提供 相同 的 对 象 标识 符 , 因 为 在 任何 配置 中 
只 能 有 一 种 MIB。 目 前 主要 使 用 mib-2, 其 对 象 标 识 符 为 1. 3. 6. 1. 2. 1 ,这 也 就 是 SNMP 协 
议 工 作 的 被 管 对 象 标识 符 子 树 。 

(3) experimental: 用 来 识别 在 互联 网 实验 中 使 用 的 所 有 管理 对 象 。 

(4) private: 用 于 识别 单方 面 定 义 的 对 象 ,或 者 说 为 私人 企业 管理 信息 准备 的 。private 子 
树 当 前 只 定义 了 一 个 子 节点 , 即 enterprises 节点 , 子 树 的 该 部 分 允许 供应 商 对 其 设备 进行 管 
理 ,需要 企业 向 Internet 管理 机 构 申 请 (Cisco 公司 为 9，HP 公司 为 11,3COM 公司 为 43)。 如 
某 厂 代码 为 100, 其 令 牌 环 适配器 的 对 象 标识 为 25, 则 其 对 象 标示 为 1. 3. 6. 1. 4. 1. 100. 25。 

将 internet 节点 分 为 4 个 子 树 ,为 SNMP 的 实验 和 改进 提供 了 非常 灵活 的 管理 机 制 ， 
反映 出 TCP/IP 协议 簇 中 协议 的 发 展 特点 , 即 所 有 这 些 协议 在 最 终 成 为 标准 化 协议 之 前 都 
经 过 了 大 量 探索 性 的 使 用 和 调试 。 

在 学 习 和 使 用 SMI 定义 的 MIB 时 ,要 特别 注意 以 下 几 点 。 

(1) 一 个 管理 对 象 是 由 对 象 类 型 和 对 象 实例 构成 ,图 7-15 所 示 的 MIB 中 SMI 仅 定 义 
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了 对 象 类 型 而 没有 定义 对 象 实例 。 对 象 类 型 由 对 象 标识 符 确定 ,对 象 实例 则 是 对 具有 标识 
的 对 象 具体 的 表示 。 例 如 ,两 个 3Com 公司 的 Hub, 它 们 的 对 象 标识 符 Object ID 均 为 iso. 
org. dod. internet。Pprivate。enterprises. 43. 1. 8. 5 ,而 Hubl 的 IP 地 址 为 172. 16. 46. 2; 
Hub2 的 IP 地 址 为 172. 16. 46. 3, 则 很 明显 Hubl 和 Hub2 为 两 个 不 同 的 对 象 实例 。 

(2) 管理 对 象 不 一 定 是 网 络 元 素 (或 网 络 设备 ) 。 如 Internet 作为 一 个 组 织 就 有 一 个 对 
象 名 “internet”, 其 对 象 ID 为 1. 3. 6. 1。 当 然 它 只 有 一 个 实例 。 可 见 管理 对 象 仅 意味 着 一 
个 有 标识 的 对 象 ,不 管 其 是 物理 的 还 是 抽象 的 。 

(3) 在 MIB 中 对 象 标识 符 可 以 用 多 种 形式 表示 。 以 internet ID 为 例 : 

internet OBJECT IDENTIFIER: : = {iso org(3) dod(6) 1} 

internet OBJECT IDENTIFIER: : = {1361} 

04) 引用 现 有 的 对 象 描述 符 来 定义 其 他 对 象 描述 符 是 一 种 方便 记忆 的 简便 方式 ,如 
mgmt 可 以 简便 地 描述 为 {internet 2) 来 代替 {1 3 6 1 2)。 


2. SNMP 数据 类 型 


MIB 由 一 系列 对 象 组 成 。 每 个 对 象 属于 一 定 的 对 象 类 型 ,并且 有 一 个 具体 的 值 。 对 象 
类 型 的 定义 是 一 种 语法 描述 ,对 象 实例 是 对 象 类 型 的 具体 实现 ,只 有 实例 才 可 以 绑 定 到 特定 
的 值 。 

SNMP 的 对 象 是 用 ASN. 1 定义 的 ,提供 统一 的 网 络 数据 表示 ,定义 了 对 象 的 数据 类 
型 .允许 形式 、. 取 值 范围 以 及 与 其 他 MIB 内 部 对 象 之 间 的 关系 。 用 ASN. 1 定义 的 应 用 数据 
在 传送 过 程 中 要 按照 BER(Basic Encoding Rule, 基 本 编码 规则 ) 变 换 成 比特 流 。 

SNMP 被 管 对 象 句 法 中 只 包括 名 称 ,数据 类 型 .访问 权限 ,状态 等 项 目的 定义 。SNMP 
的 被 管 对 象 只 使 用 ASN. 1 中 的 4 个 基本 数据 类 型 2 种 结构 类 型 和 自 定义 的 6 种 数据 类 
型 。 其 结构 如 图 7-16 所 示 。RFC 1155 是 SMI 的 具体 规范 ,其 中 给 出 了 各 种 被 管 对 象 的 定 
义 , 需 要 的 读者 可 以 阅读 参考 。 

在 ASN.1 中 ,每 一 个 数据 类 型 都 有 一 个 标签 (Tag), 标 签 有 类 型 (Class) 和 值 
(Number)。 数 据 类 型 是 由 标签 的 类 型 和 值 唯一 决定 的 。 标 签 的 类 型 有 以 下 4 种 。 

(1) 通用 标签 : 用 关键 字 UNIVERSAL 表示 。 带 有 这 种 标签 的 数据 类 型 是 由 标准 定 
义 的 ,适用 于 任何 应 用 。 

(2) 应 用 标签 : 用 关键 字 APPLICATION 表示 ,是 由 某 个 具体 应 用 定义 的 类 型 。 

(3) 上 下 文 专用 标签 : 用 关键 字 CONTEXT-SPECIFIC 表示 ,与 特定 的 应 用 程序 相关 ， 
在 文本 的 一 定 范围 中 适用 。 

(4) 私有 标签 : 用 关键 字 PRIVATE 表示 ,是 用 户 定义 的 类 型 ,任何 标准 中 都 没有 
涉及 。 

从 图 7-16 中 可 以 看 出 ,基于 TCP/IP 的 ASN. 1 的 数据 类 型 有 以 下 3 种 。 

(1) 简单 类 型 (Simple or Primitive) : 由 单一 成 分 构成 的 基本 类 型 。 

(2) 构造 类 型 (Constructor or Structured) : 由 两 种 以 上 成 分 构成 的 组 合 类 型 组 成 ,用 
来 构建 表 。 

(3) 应 用 类 型 (Defined or Application) : 从 其 他 类 型 中 衍生 出 来 的 新 类 型 。 
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7-16 SNMP 被 管 对 象 的 数据 类 型 


ASN. 1 不 仅 可 以 定义 每 个 对 象 ,还 可 以 定义 整个 MIB 的 结构 。 为 了 保持 对 象 的 简单 
性 ,SNMP 仅 用 了 ASN. 1 元 素 和 特性 的 一 个 子 集 。5 种 通用 类 型 (标签 为 UNIVERSAL) 
可 用 于 定义 MIB 对 象 ,如 表 7-5 所 示 中 给 出 了 SNMP 使 用 的 通用 数据 类 型 及 其 标签 的 值 ， 
前 4 种 是 简单 类 型 ,最 后 一 种 是 构造 类 型 。 

ASN. 1 中 的 APPLICATION 类 与 特定 应 用 相关 。 具 体 到 SNMP 应 用 中 ,RFC1155 定 
义 了 6 种 应 用 类 型 ,下 面 分 别 说 明 其 定义 。 表 7-5 中 标签 值 是 APPLICATION 的 就 是 应 用 
相关 的 数据 结构 。 

















表 7-5 用 于 SNMP 的 ASN.1 数据 类 型 结构 















































结 构 数据 类 型 标 签 值 说 有 明 
INTEGER UNIVERSAL 2 整数 
pe OCTET STRING UNIVERSAL 4 零 或 多 个 字 节 的 序列 
Primitive Types 
OBJECT IDENTIFIER | UNIVERSAL 6 对 象 标识 符 
NULL UNIVERSAL 5 NULL 
NetworkAddress Not used 
IpAddress APPLICATION 0 点 分 十 进 制 
Counter APPLICATION 1 计数 器 、 非 负 整 数 
Defined Types 
Gauge APPLICATION 2 计量 器 、 非 负 整数 
TimeTicks APPLICATION 3 计时 器 、 非 负 整数 
Opaque APPLICATION 4 支持 任意 数据 类 型 
了 SEQUENCE UNIVERSAL16 建立 标量 对 象 
t] ft S 
| SEQUENCE OF UNIVERSAL16 建立 表 对 象 


(1) NetworkAddress: :=CHOICE {internet IpAddress} 

该 类 型 使 用 CHOICE 结构 来 定义 ,可 以 从 各 种 网 络 地 址 中 选择 一 种 。 目 前 只 定义 了 
IP 地 址 一 种 。 

(2) IpAddress: :=[APPLICATION 0]IMPLICIT OCTET STRING(SIZE(4)) 

由 IP 协议 规定 的 32 位 IP 地 址 ,定义 为 OCTET STRING 类 型 。 

(3) Counter: :=[APPLICATION 1]IMPLICIT INTEGER(0. .4 294 967 295) 

计数 器 类 型 为 只 能 增加 、 不 能 减少 的 非 负 整数 。 规 定 最 大 值 为 2* 一 1(4 294 967 295)。 
当 达 到 最 大 值 时 ,又 回 到 0 重新 开始 。 计 数 器 类 型 用 于 定义 不 断 增 加 的 数据 类 型 ,如 在 一 个 
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接口 上 计算 接收 到 的 分 组 数 或 输出 错误 的 分 组 数 等 。 

(4) Gauge: :=[APPLICATION 2]INTRGER(0..4294967 295) 

计量 器 类 型 为 一 个 非 负 整数 ,其 值 可 增加 也 可 减少 。 最 大 值 为 2” 一 1。 与 计数 器 不 同 
的 是 ,计量 器 达到 最 大 值 后 保持 该 值 不 变 , 直 到 被 复位 为 止 。 计 量 器 可 用 于 表示 存储 在 缓冲 
队列 中 的 分 组 数 , 如 在 一 个 路 由 器 或 Hub 上 被 激活 的 接口 数量 。 

(5) TimeTicks: :=[APPLICATION 3] INTEGER(0..4294967 295) 

计时 器 类 型 为 一 个 非 负 整 数 。 按 百 分 之 一 秒 为 单位 进行 计算 ,可 表示 从 某 个 事件 开始 
到 目前 经 过 的 时 间 。 

(6) Opaque: :=[APPLICATION 4]OCTET STRING 

该 类 型 能 够 传递 任意 类 型 数据 ,通过 抽象 ASN. 1 语法 ,支持 较 宽 应 用 的 数据 类 型 , 即 
在 上 述 定义 的 数据 类 型 的 基础 上 可 产生 新 的 数据 类 型 。 数 据 在 传输 时 按 OCTET STRING 
编码 ,管理 站 和 代理 能 解释 这 种 类 型 。 

通过 下 面 管理 对 象 ipAddrEntry 的 定义 ,可 以 对 基本 SNMP 的 ASN. 1 的 数据 类 型 结 
构 有 更 全 面 的 了 解 。 

ipAddrEntry 是 构成 ipAddrTable 的 元 素 , 可 以 理解 为 表 的 结构 。ipAddrTable 是 构造 
类 型 ,作为 表 对 象 , 它 由 标量 对 象 ipAddrEntry 的 若干 实例 构成 。 其 定义 为 : 


ipAddrTable:: = SEQUENCE OF ipAddrEntry 
ipAddrEntry 也 是 构造 类 型 ,但 却 是 由 若干 其 他 类 型 的 数据 来 构成 ,其 定义 为 : 


IpAddrEntry: : = SEQUENCE{ 
ipAdEntAddr IpAddress 
ipAdEnIf Index INTEGER 
inAdEntNetMask IpAddress 
ipAdEntBcastAddr INTEGER 
ipAdEntReasmMaxSite INTEGER(0. .65 535) 
} 


其 中 的 各 个 对 象 的 名 称 (Object Name) ,标识 符 (OBJECT IDENTIFIER) 数据 类 型 说 明 语 
法 (Object Syntax) 分 别 如 下 。 


。 ipAdEntAddr {ipAddrEntry 1} IpAddress 

。 ipAdEnlfIndex {ipAddrEntry 2} INTEGER 

» inAdEntNetMask {ipAddrEntry 3} IPAddress 

» ipAdEntBcastAddr {lipAddrEntry 4} INTEGER 

。 ipAdEntReasm MaxSize {ipAddrEntry 5} INTEGER 

。 ipAddrEntry {ipAddrTable 1} SEQUENCE 

。 ipAddrTable {ip20} SEQUENCE OF 


上 述 定义 可 以 说 明 标量 对 象 和 表 对 象 之 间 的 关系 。ipAddrEntry 的 定义 里 有 两 种 数据 
类 型 (ObjectSyntax), 即 IpAddress 和 INTEGER, 可 见 建立 一 个 标量 对 象 可 由 基本 数据 类 
型 (Primitive) 和 Defined 类 型 混合 构成 。 表 中 第 6 个 对 象 为 ipAddrEntry, 是 由 前 5 个 对 象 
构成 的 标量 对 象 ,数据 类 型 为 构造 类 型 (SEQUENCE) 。 
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3. SMI 的 定义 


管理 信息 库 中 包含 各 种 类 型 的 管理 对 象 , 如 计数 器 .计量 器 .标量 对 象 和 表 对 象 等 。 如 
何 来 定义 MIB 中 的 对 象 呢 ? 

如 果 为 每 一 类 对 象 定义 一 种 对 象 类 型 ,这 种 方法 会 产生 很 多 对 象 类 型 ,而且 定义 的 方法 
可 能 是 各 种 各 样 的 ,这 使 得 MIB 的 实现 复杂 化 。 或 者 定义 一 种 带 参数 的 通用 对 象 类 型 , 然 
后 通过 使 用 不 同 的 参数 取 值 来 表示 不 同 种 类 的 对 象 ,其 实现 仍然 很 复杂 。 

SNMP 采用 的 方法 是 利用 ASN. 1 宏 定 义 表示 一 个 有 关 类 型 的 集合 ,然后 用 这 些 类 型 
定义 管理 对 象 。 宏 定义 给 出 了 一 系列 相关 类 型 的 语法 , 宏 实 例 定义 了 具体 的 类 型 。 具体 看 
有 下 面 不 同 层次 的 定义 。 

。 宏 定义 : 定义 了 合法 的 宏 实 例 ,规定 一 系列 相关 类 型 的 语法 。 

。 宏 实例 ; 通过 给 宏 定 义 分 配 参数 ,从 具体 的 宏 定 义 产生 实例 ,说 明 一 种 具体 类 型 。 

。 宏 实例 的 值 : 表示 一 个 具有 特定 值 的 实体 。 

SNMP MIB 的 宏 定 义 最 初 在 RFC 1155 中 说 明 , 即 MIB- 工 。 后 来 在 RFC 1212 中 得 到 
扩充 ,包括 了 更 多 的 信息 ,用 于 定义 MIB-[ 和 其 他 最 近 MIB 添加 的 对 象 。 下 面 给 出 RFC 
1212 中 OBJECT-TYPE 宏 的 定义 。 

OBJECT - TYPE MACRO: : = 

BEGIN 

TYPE NOTATION: : = "SYNTAX" type{TYPE ObjectSyntax} 
"ACCESS" Access 
"STATUS" Status 
DescrPart 
RefrePart 
IndexPart 
DefValPart 

VALUE NOTATION: : = value (VALUE ObjectName) 

Access:: = "read— only"|"read— write"|"write- only"| "not - accessible" 
Status: : = "mandatory" |"optional"|"obsolete" |"deprecated" 
DescrPart: "DESCRIPTION"value(description DisplayString)empty 
ReferPart: REFERENCE" value( reference DisplayString) | empty 





IndexType: : = value( indexobject ObjectName)type( indextype) 
DefValpart: : = "DEFVAL""{"value(defvalue ObjectSyntax)"}"|empty 
DisplayString:: = OCTET STRING SIZE(0. .255) 
END 
对 其 中 关键 的 成 分 解释 如 下 。 
(1) SYNTAX: 表示 对 象 类 型 的 抽象 语法 ,在 宏 实 例 中 ,关键 字 TYPE 应 由 RFC 1155 
中 定义 的 ObjectSyntax 代替 , 即 通 用 类 型 和 应 用 类 型 。 
ObjectSyntax: :=CHOICE{ simple SimpleSyntax,application-wide ApplicationSyntax} ,这 里 
SimpleSyntax 是 指 5 种 通用 类 型 ,而 ApplicationSyntax 是 指 6 种 应 用 类 型 。 
(2) ACCESS: 定义 SNMP 协议 访问 对 象 的 方式 。 在 具体 实现 中 可 以 增加 或 限制 访 
问 ,选项 有 只 读 、 读 写 、 只 写 和 不 可 访问 。 
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(3) STATUS: 说 明 管 理 对 象 是 当前 支持 的 还 是 过 时 的 。 状 态 子 句 中 定义 了 必要 的 
(Mandatory) 或 可 选 的 (Optional) ,对 象 也 可 规定 为 过 时 的 (Obsolete) ,但 新 标准 不 支持 该 
类 型 。 最 后 ,如 果 一 个 对 象 被 说 明 为 可 取消 的 (Deprecated), 则 表示 当前 必须 支持 这 种 对 
象 ,但 在 将 来 的 标准 中 可 能 被 取消 。 

(4) DescrPart: 对 象 类 型 语义 的 文本 描述 。 该 子 句 是 可 选 的 。 

(5) ReferPart: 用 文字 描述 可 参考 在 其 他 MIB 模块 中 定义 的 对 象 。 该 子 句 是 可 选 的 。 

(6) IndexPart: 用 于 定义 表 对 象 的 索引 项 。 

(7) DefValPart: 定义 对 象 实例 的 默认 值 , 代 理 在 创建 实例 时 使 用 。 该 子 句 是 可 选 的 。 

(8) VALUE NOTATION 规定 通过 SNMP 访 向 该 对 象 时 所 用 的 名 称 。 

当 用 一 个 具体 的 值 代替 宏 定 义 中 的 变量 (或 参量 ) 时 就 产生 了 宏 实例 , 它 表 示 一 个 实际 
的 ASN.1 类 型 (叫做 返回 的 类 型 ), 并 且 规 定 了 该 类 型 可 取 值 的 集合 (叫做 返回 的 值 )。 宏 
实例 ( 即 ASN. 1 类 型 ) 的 表示 是 首先 写 出 类 型 名 ,后 跟 宏 定义 的 名 字 , 再 后 面 是 宏 定义 规定 
的 宏 体 部 分 。 下 面 给 出 一 个 对 象 定义 的 例子 。 


tcpMaxConn OBJECT ~ TYPE 





SYNTAX INTEGER 

ACCESS readonly 

STATUS mandatory 

DESCRIPTION "The limit on the total number of TCP connect the entity can support" 
::= {tcp 4} 


可 见 ,被 管 对 象 tcpMaxConn( 其 对 象 标识 符 为 {tcp 4}) 的 定义 就 是 对 OBJECT-TYPE 
MACRO 的 参数 调用 过 程 。 

在 MIB 中 ,每 个 对 象 都 有 一 个 唯一 的 对 象 标识 ,这 个 标识 由 该 对 象 在 树 型 结构 的 MIB 
中 的 位 置 来 定义 。 但 是 ,SNMP 对 一 个 MIB 进行 访问 时 ,所 想 访 问 的 是 对 象 的 一 个 特定 的 
实例 ,而 不 是 对 象 类 型 。 对 表 中 各 个 元 素 的 定义 或 访问 就 要 复杂 一 些 。SMI 支持 一 种 形式 
的 数据 结构 , 即 简单 的 二 维 标量 表 , 它 用 来 解决 对 象 实例 的 识别 问题 。 

表 的 定义 涉及 ASN. 1 的 序列 类 型 SEQUENCE 和 SEQUENCE OF 的 使 用 及 对 象 类 型 宏 
定义 中 索引 部 分 IndexPart 的 使 用 。 下 面 通过 例子 来 说 明 表 定义 的 方法 ,以 下 是 RFC 1213 规 
范 的 TCP 连接 表 的 定义 部 分 的 主要 内 容 。 


tcpConnTable OBJECT - TYPE 
SYNTAX SEQUENCE OF TcpConnEntry 
ACCESS not ~ accessible 
STATUS mandatory 
DESCRIPTION 
"A table containing TCP connection - specific information" 
::= {tcp 13} 
tcpConnEntry OBJECT ~— TYPE 
SYNTAX TcpConnEntry 
ACCESS not - accessible 
STATUS mandatory 
DESCRIPTION 
" Information about a particular current TCP connection. An object of this type is 
transient, in that it ceases to exist when(or soon after)the connection makes the transition the 
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State. ” 
INDEX { tcpConnlocalAddress, tcpconnLocalPort, 
tcpConnRemAddress, tcpConnRemPort} 
::= {tcpConnTable 1} 
TcpConnEntry: : = SEQUENCE{ tcpConnState INTEGER, tcpConnLocalAddress IpAddress, 
tcpConnLocalport INTEGER(0. .65535), tcpConnRemAddress IpAddress, 
tcpConnRemPort INTEGER(0. .65535)} 
tcpConnState OBJECT - TYPE 
SYNTAX INTEGER{closed(1), listen(2), SynSent (3), synreceived (4), established (5), 
finvait1(6), finwait2(7), closeWait(8),1lastAck(9),closing(10), timeWait(11), deleteTCB(12)} 
ACCESS read — write 
STATUS mandatory 
DESCRIPTION 
"The state of this TCP connection" 
::= {tcpConnEntry 1} 

可 以 看 出 ,上 述 定义 有 以 下 几 个 特点 。 

(1) 整个 TCP 连接 表 (tcpConnTable) 是 TCP 连接 项 (tcpConnEntry) 组 成 的 同一 类 型 
序列 (SEQUENCE OF) ,而 每 个 TCP 连接 项 是 TCP 连接 表 的 一 行 ,一 张 表 由 0 行 或 多 行 
组 成 。 

(2) TCP 连接 项 是 由 5 个 不 同类 型 的 标量 元 素 组 成 的 序列 (SEQUENCE)。 这 5 个 标 
量 的 类 型 分 别 是 INTEGER .IpAddress INTEGER(0.. 65 535)、IpAddress 和 INTEGER 
(0..65 535) 。 

(3) TCP 连接 表 的 索引 用 INDEX 指出 ,由 4 个 元 素 组 成 ,它们 分 别 为 本 地 地 址 
tcpConnLocalAddress、 本 地 端口 tcpConnLocalPort ,远程 地 址 tcpConnRemAddress 和 远程 
端口 tcpConnRemPort。 

如 图 7-17 所 示 是 一 个 通过 TCP 连接 表 定 义 的 表 实 例 , 它 包 含 3 行 ,整个 表 是 对 象 类 型 
tcpConnTable 的 实例 。 表 的 每 一 行 是 对 象 类 型 TcpConnEntry 的 实例 。 每 一 行 中 的 5 个 标 
量 各 有 3 个 实例 ,在 RFC 1212 中 ,这 种 对 象 称 为 列 对 象 , 产 生 表 中 的 一 列 实例 。 


tcpConnTable(1.3.6.1.2.1.6.13) 
有 





证 1 
tcpConnState tcpConnLocal tcpConnLocal tcpConnRem tcpConnRem 
































(1.3.6.1.2.1.6 Address Port Address Port 
lly (1.3.6.1.2.1.6 (1.3.6.1.2.1.6 (1.3.6.1.2.1.6 (1.3.6.1.2.1.6 
"1312) "3 .13.1.4) 3 
5 10.0.0.99 12 9.1.2.3 15 
2 0.0.0.0 99 0.0.0.0 0 
3 10.0.0.99 14 89.1.1.42 84 
INDEX INDEX INDEX INDEX 


7-17 ”TCP 连接 表 的 实例 


表 中 的 标量 对 象 称 为 列 对 象 ,有 唯一 的 对 象 标识 符 , 但 每 个 列 对 象 可 以 有 多 个 实例 。 例 
如 ,图 7-17 中 列 对 象 tcpConnLocalPort 就 有 3 个 实例 (其 值 分 别 为 12、99、14) ,而 这 3 个 实 
例 的 对 象 标识 符 都 是 (1. 3. 6. 1. 2. 1. 6. 13. 1. 3) 。 要 想 区 分 表 中 的 行 ,就 要 把 列 对 象 的 对 象 


第 7 章 “UDP 及 应 用 协议 分 析 


标识 符 与 索引 对 象 的 值 组 合 起 来 ,以 指定 表 中 列 对 象 的 一 个 实例 , 即 规定 标量 对 象 的 标识 后 
附 上 索引 对 象 的 值 来 表示 表 中 的 一 个 对 象 实例 标识 符 。 索 引 对 象 按照 其 出 现在 表 的 定义 中 
的 顺序 列 出 。 一 般 规律 为 : 若 对 象 标示 符 是 y, 该 对 象 所 在 的 表 有 N 个 索引 对 象 了 L,i 记 ,…， 
训 , 则 它 的 某 一 行 的 实例 标示 如 下 。 


y. (i1). (i2)…. (in) 


表 7-6 给 出 了 图 7-17 的 tcpConnTable 例子 中 的 所 有 实例 标识 符 。 
表 7-6 tcpConnTable 中 的 对 象 标识 符 




















tcpConnState (1. 3. |tcpConnLocalAddress| tcpConnLocalPort “| tcpConnRemAddress | tcpConnRemPort(1. 
和 
1) 13.1.2) Lk 13.1.4) 5) 

ww 1, 10, 0. 0. 99, | 2 10; 05 0,..99; | 3 10; 0, 05 99. | % 10;05 0 99. |x 5. 10; 0 0 99. 
12. 9. 1. 2. 3. 15 12. 9. 1. 2. 3. 15 12. 9. 1. 2. 3. 15 12. 9. 1. 2. 3. 15 12. 9. 1. 2. 3. 15 
1005.0. 0 99. | 20200099 3.0000 99. | .00.00 9 | $00 .0.0 90. 
0.0.0.0.0 0.0.0.0.0 0.0.0.0.0 0.0.0.0.0 0.0.0.0.0 

Ew 1 0.0 0. 99. | 2 10 0 .0.99 | 3 1005 0 .99 | %. 1100 .099 | $5.10 0,0 9%. 
14. 89. 1. 1. 42. 84 |14.89.1.1.42.84 14. 89. 1.1.42.84 |14.89.1.1.42.84 |14.89.1.1.42.84 


表 中 x=1. 3. 6.1. 2. 1.6.13. 1, 即 tcpConnEntry 的 对 象 标识 符 。 


将 各 个 作为 索引 的 对 象 实例 的 值 转换 为 子 标 识 符 时 按 不 同 的 方式 来 进行 : 整数 值 作为 
一 个 子 标识 符 ; 固定 长 度 的 字符 串 值 , 则 把 每 个 字 节 (OCTET) 编 码 为 一 个 子 标识 符 ; 可 变 
长 的 字符 串 值 , 则 先 把 串 的 实际 长 度 编码 为 第 一 个 子 标识 符 , 然 后 把 每 个 字 节 编码 为 一 个 
子 标识 符 ,总 共 2 十 1 个 子 标识 符 ; 对 象 标识 符 , 如 果 长 度 为 n, 则 先 把 n 编码 为 第 一 个 子 标 
识 符 , 后 续 该 对 象 标 识 符 的 各 个 子 标识 符 , 总 共 十 1 个 子 标识 符 ; IP 地 址 , 则 变 为 4 个 子 标 

对 于 表 和 行 对 象 (如 tcpConnTable 和 tcpConnEntry) 没 有 实例 标识 符 。 因 为 它们 不 是 
叶子 节点 ,SNMP 不 能 访问 ,在 这 些 对 象 的 MIB 定义 中 ,其 访问 特性 为 “notraccessible”。 这 
类 对 象 叫做 概念 表 和 概念 行 。 

由 于 标量 对 象 只 能 取 一 个 值 ,所 以 从 原则 上 讲 ,不必 区 分 对 象 类 型 的 对 象 实例 。 然 而 ， 
为 了 与 列 对 象 一 致 ,SNMP 规定 在 标量 对 象 标识 符 之 后 级 联 一 个 0, 表 示 该 对 象 的 实例 标 
识 符 。 


4. 词典 顺序 





SNMP 定义 了 两 种 识别 特定 的 对 象 实例 的 技术 : 顺序 访问 技术 和 随机 访问 技术 。 随 机 
访问 按照 对 象 的 实例 标识 符 进行 取 值 ; 顺序 访问 技术 基于 MIB 中 的 对 象 按 词典 顺序 进行 
取 值 。 一 个 对 象 标识 符 是 一 个 整数 序列 ,该 序列 反映 了 其 对 象 在 MIB 中 的 逻辑 位 置 ,同时 
表示 它们 按 词典 顺序 出 现 。 只 要 遍历 MIB 树 ,就 可 以 排出 所 有 对 象 的 词典 顺序 。 因 对 象 的 
实例 标识 也 是 整数 序列 ,遍历 MIB 树 也 可 得 到 其 词典 顺序 。 

排序 的 对 象 和 对 象 实例 标识 对 网 络 管理 是 很 重要 的 。 因 为 一 个 网 络 管理 站 不 可 能 确切 
地 知道 代理 提供 的 MIB 的 组 成 ,所 以 管理 站 通过 词典 顺序 搜索 MIB 树 ,在 不 知道 对 象 标识 
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符 的 情况 下 访问 对 象 的 值 。 例 如 ,为 检索 一 个 表 项 ,管理 站 可 以 用 GetNext 操作 , 按 词典 顺 
序 得 到 预定 的 对 象 实例 。 

考查 如 表 7-7 所 示 的 例子 ,这 是 一 个 简化 的 IP 路 由 表 ipRouteTable (1. 3. 6. 1. 2.1.4.21) 
的 例子 ,只 有 3 列 对 象 和 3 条 路 由 ,其 条 目 对 象 为 ipRouteEntry(1. 3. 6. 1. 2. 1. 4. 21. 1) , 索 
引 对 象 为 ipRouteDest。 


表 7-7 简化 的 IP 路 由 表 例 子 





ipRouteDest ipRouteMetricl ipRouteNextHop 
9.1.2.3 3 99.0.0.3 
10.0.0.51 5 89.1.1.42 
10.0.0.99 5 89.1.1.42 


这 个 路 由 表 的 对 象 及 其 实例 在 表 7-8 中 按 对 应 的 词典 顺序 给 出 。 
表 7-8 简化 的 IP 路 由 表 例 子 





对 象 (词典 顺序 ) 对 象 标识 符 OID 下 一 个 对 象 实例 的 OID 
ipRouteTable D0 2 Lod 2 B36 
ipRouteEntry L012 人 
ipRouteDest 让 人 
ipRouteDest. 9. 1. 2.3 51 
ipRouteDest. 10. 0. 0. 51 L020 0 L642.L1100.099 
ipRouteDest. 10. 0. 0. 99 0 
ipRouteMetricl 让 如 
ipRouteMetric1. 9. 1. 2. 3 0 
ipRouteMetric1. 10. 0.0.51 1.3.6.1.2.1.4.21.1.3.10.0.0.51 1.3.6.1.2.1.4.21.1.3.10.0.0.99 
ipRouteMetric1. 10.0.0.99 ”1. 3. 6.1.2.1.4.21.1.3.10.0.0.99 1.3.6.1.2.1.4.21.1.7.9.1.2.3 
ipRouteNextHop 人 :他国 训 他 各 J 克 风 光 全 周知 
ipRouteNextHop. 9.1.2.3 1.3.6.1.2.1.4.21.1.7.9.1.2.3 -1.3.6.1.2.1.4.21.1.7.10.0.0.51 
ipRouteNextHop. 10. 0.0. 51 1. 3.6.1.2.1.4.21.1.7.10.0.0.51 1.3.6.1.2.1.4.21.1.7.10.0.0.99 
ipRouteNextHop. 10. 0. 0. 99 1. 3.6.1.2.1.4.21.1.7.10.0.0.99 1.3.6.1.2.1.4.21.1.x 


注意 ,在 表 7-8 中 , 表 对 象 ipRouteTable、 表 的 条 目 ipRouteEntry 和 各 个 列 对 象 (如 
ipRouteDest) 本 身 都 对 应 着 不 止 一 个 实例 ,其 下 一 个 对 象 实例 都 只 能 够 是 表 中 能 取得 实例 
值 的 第 一 个 对 象 ,因此 ipRouteTable ipRouteEntry 和 ipRouteDest 的 下 一 个 对 象 实例 的 
OID 都 是 1.3.6.1.2.1.4.21.1.1.9.1.2.3。 

表 7-8 中 最 后 一 个 对 象 的 下 一 个 对 象 实例 取决 于 具体 网 络 环境 中 的 MIB 实现 ,所 以 这 
里 不 能 确定 ,表示 为 x。 


5. 基本 编码 规则 


SNMP 采用 基本 编码 规则 (CBER) ,在 管理 和 代理 之 间 编 码 传输 管理 信息 。BER 把 
ASN. 1 表示 的 抽象 类 型 值 编 码 为 字 节 串 ,其 结构 为 类 型 一 长 度 一 值 ,简称 TLV (Type- 
Length-Value) 编 码 结构 ,而且 值 部 分 还 可 以 递归 地 再 编码 为 TLV 结构 ,这 样 就 具有 了 表达 
复杂 结构 的 能 力 。 其 中 Type 占 第 一 个 字 节 ,其 结构 如 图 7-18 所 示 。Class 占 2 位 ,说 明 数 
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据 的 标签 类 型 ; Primitive/Construct 占 1 位 ,说 明 数 据 的 类 型 是 否 构 造 类 型 ; Tag Number 
占 5 位 ,表示 数据 的 标签 值 ,如 果 标 签 的 值 大 于 30, 则 这 5 位 为 全 1, 标签 值 表示 在 后 续 字 节 
中 。 不 同 标签 的 取 值 参见 表 7-5。 





Class(7th-8th bits) | Primtive/Construct(6th bit) Tag Number(1st-5th bits) 


























TT 0 简单 类 型 
1 构造 类 型 
三 00UNIVERSAL 
— 01 APPLICATION 
一 10 CONTEXT SPECIFIC 
— 11 PRIVATE 





7-18 ”TLYV 编码 第 一 字 节 的 结构 


Length 用 于 指出 Value 字段 包含 的 8 位 组 , 它 本 身 用 8 位 组 中 的 7 位 表示 数值 ,最 高 


位 为 延续 符 , 为 0 表示 8 位 组 已 结束 。 
例如 ,8 位 串 (OCTET STRING)0A1B( 十 六 进 制 数 ) 表 示 为 TLV 格式 的 编码 如 下 。 


00000100 00000010 00001010 00011011 


其 中 第 一 字 节 指示 出 数据 标签 为 UNIVERSAL ,简单 类 型 ,标签 的 值 为 4, 长 度 为 2, 后 面 的 
8 位 串 为 数据 。 


第 一 
6,1。 


Internet 的 标识 符 {1 3 6 1) 的 前 两 位 用 数字 43 表示 , 按 {43 6 1}) 编 码 ,编码 如 下 。 
00000110 00000011 00101011 00000110 00000001 


个 8 位 组 指出 tag 为 UNIVERSAL 6(OBJECT IDENTIFIER) ,长 度 为 3, 值 为 43， 


SNMP 使 用 的 各 类 数据 的 编码 规则 如 下 。 

。 INTEGER: 按 补 码 进行 编码 。 

。 OCTET STRING: 按 串 中 的 8 位 组 编码 。 

。 OBJECT IDENTIFIER: 将 每 个 整数 单独 编码 , 除 1. 3.6.1 以 外 。 
。 IpAddress: 直接 按 8 位 组 串 进行 编码 。 

。 Counter、Gauge、TimeTicks: 均 按 整 数 编码 。 

。 Opaque 与 OCTET STRING 相同 。 

更 多 的 编码 规则 内 容 可 以 参考 ASN. 1 的 相关 资料 ,这 里 不 再 袭 述 。 


7.4.3 管理 信息 库 MIB- 工 
RFC 1213 定义 的 MIB- 下 是 当前 应 用 的 管理 信息 库 标准 。 它 是 对 MIB- 工 的 扩充 ,增加 


了 一 些 对 象 和 组 。SNMP 环境 中 的 所 有 管理 对 象 组 织 成 分 层 的 树 结构 ,包含 11 个 功能 组 


和 1 


71 个 被 管 对 象 。 


141 


MY 


142 


A 
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图 7-15 中 已 经 给 


出 了 MIB-[ 管 理 信息 库 在 注册 对 象 树 中 的 定义 关系 ,可 以 看 出 MIB-II[ 的 


对 象 ID 为 1.3.6.1.2.1。 表 7-9 列 出 了 各 个 功能 组 名 、 对 象 ID 和 每 个 组 的 主要 描述 。 系 统 
组 所 包含 的 对 象 用 来 描述 被 管理 网 络 设备 的 最 高 级 特性 和 通用 配置 信息 。 接 口 组 定义 网 络 
组 成 和 网 络 参 数 中 的 每 个 接口 。 地 址 转换 组 是 IP 地 址 与 物理 地 址 的 映射 表 。IP、ICMP、 
TCP、UDP 和 EGP 组 是 与 各 自 系 统 协议 相关 的 对 象 的 组 。CMOT(Common Management 
Information Protocol over TCP/IP, 基 于 TCP/IP 的 公共 管理 信息 协议 ) 是 将 来 用 于 OSI 协 
议 的 网 络 管理 的 ,但 目前 还 无 定义 。 传 输 组 设置 的 目的 是 为 各 种 传输 介质 提供 详细 的 管理 
信息 。 简 单 网 络 管理 协议 组 是 与 SNMP 管理 有 关 的 通信 协议 组 。 


表 7-9 MIB- 开 中 的 分 组 





组 oD 描 述 
System mib-2 1 关于 系统 的 总 体 信 息 
interface mib-2 2 关于 系统 到 子 网 的 各 个 接口 的 信息 
at mib-2 3 关于 物理 地 址 和 网 络 地 址 映射 的 信息 
ip mib-2 4 关于 系统 中 IP 的 实现 和 运行 的 信息 
icmp mib-2 5 关于 系统 中 ICMP 的 实现 和 运行 的 信息 
tcp mib-2 6 关于 系统 中 TCP 的 实现 和 运行 的 信息 
udp mib-27 关于 系统 中 UDP 的 实现 和 运行 的 信息 
egp mib-2 8 关于 系统 中 EGP 的 实现 和 运行 的 信息 
cmot mib-2 9 为 CMOT 协议 保留 
transmission mib-2 10 为 传输 信息 保留 
snmp mib-2 11 关于 系统 中 SNMP 的 实现 和 运行 的 信息 


下 面 分 别 详细 介 绍 与 基本 网 络 元素 ( 如 系统 ,接口 等 ) 物 理 特性 直接 相关 的 以 及 与 
Internet 协议 (如 IP、TCP、UDP) 管 理 对 象 相关 的 常用 功能 组 。 


1. system 组 (系统 标识 ) 


这 是 建立 在 Internet 标准 MIB 之 上 的 基本 组 ,包括 7 个 简单 变量 ,描述 系统 的 名 称 、 物 
理 地 点 .联系 人 等 信息 ,如 表 7-10 所 示 。 网 络 管理 系统 可 以 向 对 象 发 送 get-request 消息 ,以 





获取 系统 基本 描述 信息 。 
表 7-10 ”system 组 被 管 对 象 
对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
sysDescr(1) DisplayString(SIZE(0. .255)) RO 关于 硬件 和 操作 系统 的 信息 
sysObjectID(2) OBJECT IDENTIFIER RO 系统 制造 商标 识 
sysUpTime(3) Timeticks RO 系统 运行 时 间 
sysContact(4) DisplayStdng(SIZE(0. .255)) RW 系统 管理 人 员 描 述 
sysNamels) DisplayString(SIZEC0. . 255)) RW 系统 的 全 称 域名 
sysLocation(6) DisplayStrang(SIZE(0. .255)) RW 系统 的 物理 位 置 
sysServices(7) INTEGER(0. .127) RO 系统 服务 
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例如 ,网 络 管理 系统 获得 的 一 个 路 由 器 的 系统 数据 如 下 。 


Title:System Information :routerl. gatech. edu 

Name or IP Address:172.16.252.1 

System Name:routerl. gatech. edu 

System Description:Cisco Internetwork Operating System Software 
IOS(tm)7000 Software(c7000 — JS—M), Version11.2(6) 
Copyright(c)1986 - 1997 by Csico Syetenm, Inc. 

System Contact: 

System Location: 

System Object ID: iso. org. dod. internet. private. enterprises. cisco. ciscoProduct.cisco7000 

System Up Time: (315131795) 36 days,11:21:57.95 


从 中 可 以 看 到 ,系统 的 基本 软 硬 件 信息 .系统 域名 和 运行 时 间 等 。 
2. interface 组 (接口 组 ) 


接口 组 是 关于 该 实体 的 物理 接口 方面 的 配置 信息 和 发 生 在 每 个 接口 的 事件 的 统计 信 
息 。 该 功能 组 对 所 有 的 系统 都 是 必须 实现 的 。 它 由 两 个 节点 iiNumber 和 ifTable 构成 ， 
interface 组 的 所 有 对 象 如 表 7-11 所 示 。 表 的 访问 方式 是 NA ,表示 不 可 访问 ,是 指 表 中 的 标 
量 对 象 的 实例 值 有 多 个 ,因此 不 能 够 简单 指明 访问 方式 ,需要 对 每 个 标量 对 象 单独 说 明 。 


表 7-11 interface 组 被 管 对 象 





对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 

itNumber(1) INTEGER RO 网 络 接口 的 数目 

ifTable(2) SEQUENCE OF NA 接口 表 

ifEntry(ifTable. 1= x) SEQUENCE NA 接口 表 项 

ifIndex(x. 1) INTEGER RO 接口 索引 , 介 于 1 和 ifNumber 之 间 

ifDescr(x. 2) DisplayString RO 接口 的 文字 描述 

ifType(x 3) INTEGER RO ”类 型 

ifMtu(x. 4) INTEGER RO 接口 的 MTU 

ifSpeed(x. 5) Gauge RO ”以 b/s 为 单位 的 速率 

ifPhysAddress(x. 6) PhysAddress RO 物理 地 址 

ifAdminStatus(x. 7) INTEGER(1..3) RW 期 望 的 接口 状态 ， up (1)、down (2)、 
testing(3) 

ifOperStatus(x. 8) INTEGER(1..3) RO 当前 的 接口 状态 ，up(1)、down(2)、 
testing(3) 

ifLastChange(x. 9) TimeTicks RO 接口 进入 当前 运行 状态 的 sysUpTime 值 

ifInOctets(x. 10) Counter RO 收 到 的 字 节 总 数 包括 组 帧 字符 

ifInUcastPkts(x. 11) Counter RO 交付 给 高 层 的 单 播 分 组 数 

ifInNNUcastPkts(x. 12) Counter RO 交付 给 高 层 的 非 单 播 分 组 数 

ifInDiscards(x. 13) Counter RO 收 到 的 被 丢弃 的 分 组 数 

ifInErrors(x. 14) Counter RO 收 到 的 由 于 差错 被 丢弃 的 分 组 数 

ifInUnknownProtos(x. 15) Counter RO 收 到 的 由 于 未 知 的 协议 被 丢弃 的 分 组 数 

ifOutOctets(x. 16) Counter RO 发 送 的 字 节 总 数 包括 组 帧 字符 

ifOutUcastPkts(x. 17) Counter RO 从 高 层 接收 到 的 单 播 分 组 数 


ifOutNUcastPkts(x. 18) Counter RO 从 高 层 接收 到 的 非 单 播 分 组 数 
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续 表 
对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
ifOutDiscards(x. 19) Counter RO 发 出 的 被 丢弃 的 分 组 数 
ifOutErrors(x. 20) Counter RO ”发 出 的 由 于 差错 被 丢弃 的 分 组 数 
ifOutQLen(x. 21) Gauge RO 在 输出 队列 中 的 分 组 数 
ifSpecific(x. 22) OBJECT IDTIFIER RO ”对 接口 特定 媒体 类 型 的 MIB 定义 的 引用 


该 组 中 的 变量 iiNumber 是 指 网 络 接口 数 。 与 每 个 接口 相关 的 信息 由 表 对 象 ifTable 
定义 ,每 个 接口 对 应 一 个 表 项 。 该 表 的 索引 是 iflIndex, 取 值 为 1 到 ifNumber 之 间 的 数 。 
ifType 是 接口 类 型 的 定义 ,常用 的 接口 类 型 有 54 种 ,每 种 接口 都 有 一 个 标准 编码 , 如 
ethernet-csmacd(6) ,iso88025-tokenRing(9) 。 

interface 组 有 两 个 关于 接口 状态 的 对 象 。ifAdminStatus 对 象 为 可 读 可 写 ,使 得 管理 者 
能 为 该 接口 设 定理 想 的 操作 参数 。ifOperStatus 对 象 是 只 读 的 ,反映 出 接口 的 当前 实际 工 
作 状 态 。 如 果 两 个 对 象 的 值 都 为 down(2), 则 该 接口 已 被 管理 站 关闭 ,如 果 ifAdminStatus 
的 值 为 up(1) 而 ifOperStatus 的 值 为 down(2), 则 表明 该 接口 出 现 了 故障 。 

对 象 ifSpeed 是 一 个 只 读 计量 器 ,表示 接口 的 速率 。 例 如 ,ifSpeed 取 值 10 000 000 表示 
10Mb/s。 有 些 接 口 速率 可 根据 参数 变化 ,ifSpeed 的 值 反 映 了 接口 当前 的 数据 速率 。 

接口 组 中 的 对 象 可 用 于 故障 管理 和 性 能 管理 。 例 如 ,可 以 通过 检查 进出 接口 的 字 节 数 
(ifInUcastPkts 和 ifOutUcastPkts) 或 队列 长 度 (ifOutQLen) 检 测 拥挤 ; 可 以 通过 接口 状态 
获知 工作 情况 ; 还 可 以 统计 出 输入 /输出 的 错误 率 。 


输入 错误 率 = ifInErrors/(ifInUcastPkts + ifInNUcastPkts) 
输出 错误 率 = ifOutErrors/(ifOutUcastPkts + ifOutNUcastPkts) 


最 后 ,该 组 可 以 提供 接口 发 送 的 字 节 数 和 分 组 数 ,以 此 作为 计 费 的 一 种 数据 依据 。 
3. at 组 (地 址 转换 组 ) 


at 地 址 转换 组 只 包含 一 个 表 atTable, 如 图 7-19 所 示 ,提供 从 网 络 地 址 到 物理 地 址 的 映 
射 关 系 。 具 体 来 说 ,网 络 地 址 atNetAddress 是 指 系统 在 该 接口 的 IP 地 址 ,物理 地 址 
atPhysAddress 取决 于 子 网 的 种 类 。 例 如 ,如 果 接 口 连接 一 个 局 域 网 , 则 物理 地 址 是 对 应 该 
接口 的 MAC 地 址 。 





at(mib-2 3) 
上 atTable(1) 
[一 - atEntry(1) 
atlflndex(1) 
| 一 atPhysAddress(2) 
-一 一 atNetAddress(3) 





图 7-19 MIB-I 的 at 组 


尽管 是 所 有 的 系统 都 要 求实 现 at 组 ,但 在 MIB-[[ 中 ,地 址 转换 组 的 对 象 已 被 收编 到 各 
个 网 络 协议 组 中 ,保留 地 址 转换 组 仅 是 为 了 与 MIB- 工 兼容 。 具 体 看 每 个 网 络 协议 组 (如 IP 
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组 ) 都 包含 它们 各 自 的 网 络 地 址 转换 表 。 例 如 ,对 于 IP 组 ,网 络 地 址 转换 表 就 是 


ipNetToMediaTable。 


4. ip 组 


ip 组 提供 了 与 卫 协议 有 关 的 各 种 参数 信息 ,包含 的 对 象 如 表 7-12 所 示 。 这 些 对 象 可 
分 为 4 类 ,分 别 是 有 关 性 能 和 故障 监控 的 标量 对 象 以 及 3 个 表 对 象 。 由 于 端 系统 (主机 ) 和 
中 间 系 统 ( 路 由 器 ) 都 实现 IP 协议 ,而 这 两 种 系统 中 包含 的 IP 对 象 又 不 完全 相同 ,因而 有 些 


对 象 是 任 选 的 ,这 取决 于 具体 的 系统 实现 。 


表 7-12 ip 组 被 管 对 象 





对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 

ipForwarding(1) INTEGER RW IP gateway(1)\IP host(2) 

ipDefaultTTL(2) INTEGER RW IP 头 中 的 Time To Live 字段 的 值 

ipInReceives(3) Counter RO IP 层 从 下 层 接收 的 数据 报 总 数 

ipInHdrErrors(4) Counter RO 由 于 IP 头 出 错 而 丢弃 的 数据 报 

ipInAddrErrors(5) Counter RO ee 的 直 和 下 本 人 

ipForwDatagrams(6) Counter RO 已 转发 的 数据 报 

ipInUnknownProtos(7) Counter RO 不 支持 数据 报 的 协议 ,因而 被 丢弃 

ipInDiscards(8) Counter RO 因 缺 乏 缓冲 资源 而 丢弃 的 数据 报 

ipInDelivers(9) Counter RO 由 他 层 提交 给 上 层 的 数据 报 

ipOutRequests(10) Counter RO 由 他 层 交 给 下 层 需要 发 送 的 数据 报 ,不 包 
括 ipForwDatagrams 

ipOutDiscards(11) Counter RO 在 输出 端 因 缺 乏 缓冲 资源 而 丢弃 的 数据 报 

ipOutNoRoutes(12) Counter RO 没有 到 达 目 标的 路 由 而 丢弃 的 数据 报 

ipReasmTimeout(13) INTEGER RO 数据 段 等 待 重 装配 的 最 长 时 间 ( 秒 ) 

ipReasmReqds(14) Counter RO 需要 重 装配 的 数据 段 

ipReasmOKs(15) Counter RO 成 功 重 装配 的 数据 段 

ipReasmFails(16) Counter RO 不 能 重 装配 的 数据 段 

ipFragOKs(17) Counter RO 分 段 成 功 的 数据 段 

ipFragFails(18) Counter RO 不 能 分 段 的 数据 段 

ipFragCreates(19) Counter RO 产生 的 数据 报 分 段 数 

ipAddrTable(20) SEQUENCE OF NA IP 地 址 表 

ipRouteTable(21) SEQUENCE OF NA IP 路 由 表 

ipNetToMediaTable(22) SEQUENCE OF NA IP 地 址 转换 表 

ipRoutingDiscards(23) Counter RO 无 效 的 路 由 项 ,包括 为 释放 缓冲 空间 而 丢弃 的 


路 由 项 


ip 组 中 的 第 一 个 表格 是 IP 地 址 表 (ipAddrTable) , 它 包含 与 本 地 IP 地 址 有 关 的 信息 ， 
表 7-13 给 出 了 ipAddrTable 中 各 个 被 管 对 象 的 信息 。 表 的 每 一 行 对 应 一 个 IP 地 址 ,由 
ipAddrEntIfIndex 作为 索引 项 ,其 值 与 接口 表 的 ifIndex 一 致 。 这 反映 了 一 个 IP 地 址 对 应 
一 个 网 络 接口 这 一 事实 。 
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表 7-13 IP 地 址 表 (ipAddrTable) 被 管 对 象 





对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
ipAdEntAddr(1) IpAddress RO IP 地 址 
ipAdEntIfIndex(2) INTEGER RO 对 应 的 接口 数 : ifIndex 
ipAdEntNetMask(3) IpAddress RO IP 地 址 的 子 网 掩 码 
ipAdEntBcastAddr(4) INTEGER(0..1) RO IP 广播 地 址 中 的 最 低位 的 值 ,通常 为 1 


ipAdEntReasmMaxSize(5) INTEGER(0. .65535) RO ” 重 装 配 的 最 大 IP 数据 报 


在 配置 管理 中 ,可 以 利用 这 个 表 中 的 信息 检查 网 络 接口 的 配置 情况 。 该 表 中 的 对 象 属 
性 都 是 只 读 的 ,因此 SNMP 不 能 改变 主机 的 IP 地 址 。 

ip 组 中 的 第 二 个 表 是 IP 路 由 表 (ipRouteTable) , 它 包含 关于 转发 路 由 的 一 般 信息 ,如 
表 7-14 所 示 。 表 中 的 一 行 对 应 于 一 个 已 知 的 路 由 ,由 目标 IP 地 址 ipRouteDest 索引 。 对 于 
每 一 个 路 由 , 通 向 下 一 结 点 的 本 地 接口 由 ipRoutelfIndex 表示 ,其 值 与 接口 表 中 的 ifIndex 
一 致 。 每 个 路 由 对 应 的 路 由 协议 由 变量 ipRouteProto 指明 。 


表 7-14 IP 路 由 表 (ipRouteTable) 被 管 对 象 





对 象 名 ( 子 标识 符 ) ” 语 法 访问 方式 功能 描述 

ipRouteDest(1) IpAddress RW 目的 IP 地 址 。 值 0.0.0.0 表示 一 个 默认 的 表 项 

ipRoutelfIndex(2) INTEGER RW 接口 数 : ifIndex 

ipRouteMetricl(3) INTEGER RW 主要 的 选 路 度量 。 这 个 度量 的 意义 取决 于 选 路 协议 
(ipRouteProto) ,一 1 表示 未 使 用 

ipRouteMetric2(4) INTEGER RW 可 选 的 选 路 度量 

ipRouteMetric3(5) INTEGER RW 可 选 的 选 路 度量 

ipRouteMetric4(6) INTEGER RW 可 选 的 选 路 度量 

ipRouteNextHop(7) IpAddress RW 下 一 跳 路 由 器 的 IP 地 址 

ipRouteType(8) INTEGER RW 路 由 类 型 : 1= 其 他 ,2 一 无 效 路 由 ,3 王 直接 ,4 一 间接 

ipRouteProto(9) INTEGER RO 选 路 协议 : 1= 其 他 ,4==ICMP 重 定向 ,8=RIP,13= 
OSPF,14=BGP 以 及 其 他 

ipRouteAge(10) INTEGER RW ”路 由 上 次 更 新 以 来 所 经 历 的 秒 数 

ipRouteMask(11) IpAddress RW 在 和 ipRouteDest 相 比 较 之 前 掩 码 要 与 目的 IP 地 址 进 
行 逻辑 与 运算 

ipRouteMetric5(12) INTEGER RW 其 他 的 选 路 度量 

ipRouteInfo(13) OBJECT RO 对 这 种 特定 选 路 协议 的 MIB 定义 的 引用 

IDENTIFIER 


表 7-14 中 ipRouteProto 的 取 值 可 以 是 下 列 各 个 值 之 一 : other(1) \local(2) .netmgmt(3)、 
icmp(4) .egp(5) 、ggp(6) hello(7) ,rip(8) is-is(9) 、esris(10) ciscolgrp(11)、bbnSpflgp(12)、 
ospf(13) bgp(14) 。 

其 中 有 些 是 制造 商 专用 的 协议 ,例如 ,ciscolgrp(CISCO 专用 )。 如 果 路 由 是 人 工 配置 
的 , 则 ipRouteProto 表示 为 local。 

路 由 表 中 的 信息 可 用 于 配置 管理 。 因 为 这 个 表 中 的 对 象 是 可 读 写 的 ,所 以 可 以 用 
SNMP 设置 路 由 信息 。 这 个 表 也 可 以 用 于 故障 管理 ,如 果 用 户 不 能 与 远程 主机 建立 连接 ， 
可 检查 路 由 表 中 的 信息 是 否 有 错 。 
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IP 地 址 转换 表 (ipNetToMediaTable) 提 供 了 物理 地 址 和 IP 地 址 的 对 应 关系 。 每 个 接 
口 对 应 表 中 的 一 项 。 这 个 表 与 地 址 转换 组 语义 相同 ,如 表 7-15 所 示 。 


表 7-15 IP 地址 转换 表 (ipNetToMediaTable) 被 管 对 象 





对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
ipNetToMedialfIndex(1) INTEGER RW 对 应 的 接口 : ifIndex 
ipNetToMediaPhysAddress(2) PhysAddress RW 物理 地 址 
ipNetToMediaNetAddress(3) IpAddress RW IP 地 址 
ipNetToMediaType(4) INTEGER(1..4) RW 映射 的 类 型 1= 其 他 ,2= 无 效 的 ,3= 


动态 的 ,4 一 静态 的 


用 arp 命令 获得 的 ARP 高 速 缓存 的 内 容 和 ipNetToMediaTable 表 中 的 内 容 是 一 致 的 。 
5. icmp 组 
ICMP 是 IP 的 伴随 协议 。 所 有 实现 IP 协议 的 节点 都 必须 实现 ICMP 协议 。icmp 组 包 


含 ICMP 实现 和 操作 的 有 关 信 息 , 如 表 7-16 所 示 。 可 以 看 出 ,icmp 组 的 被 管 对 象 是 有 关 各 
种 接收 或 发 送 的 ICMP 报 文 的 计数 器 。 


表 7-16 icmp 组 被 管 对 象 





对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
icmpInMsgs(1) Counter RO 收 到 的 ICMP 报 文 总 数 ( 以 下 为 输入 报 文 ) 
icmpInErrors(2) Counter RO 收 到 的 出 错 ICMP 报 文 数 
icmpInDestUnreachs(3) Counter RO 收 到 的 目的 不 可 送 达 型 ICMP 报 文 
icmpInTimeExcds(4) Counter RO 收 到 的 超时 型 ICMP 报 文 
icmpInParmProbs(5) Counter RO 收 到 的 有 参数 问题 型 ICMP 报 文 
icmpInSrcQuenchs(6) Counter RO 收 到 的 源 抑制 型 ICMP 报 文 
icmpInRedirects(7) Counter RO 收 到 的 重 定 向 型 ICMP 报 文 
icmpJInEchos(8) Counter RO 收 到 的 回声 请 求 型 ICMP 报 文 
icmpInEchoReps(9) Counter RO 收 到 的 回声 响应 型 ICMP 报 文 
icmpInTimestamps(10) Counter RO 收 到 的 时 间 戳 请求 型 ICMP 报 文 
icmpInTimestampReps(11) Counter RO 收 到 的 时 间 戳 响应 型 ICMP 报 文 
icmpInAddrMasks(12) Counter RO 收 到 的 地 址 掩 码 请 求 型 ICMP 报 文 
icmpInAddrMaskReps(13) Counter RO 收 到 的 地 址 掩 码 响应 型 ICMP 报 文 
icmpOutMsgs(14) Counter RO 发 出 的 ICMP 报 文 总 数 (以 下 为 输出 报 文 ) 
icmpOutErrors(15) Counter RO 发 出 的 出 错 ICMP 报 文 数 
icmpOutDestUnreachs(16) Counter RO 发 出 的 目的 不 可 送 达 型 ICMP 报 文 
icmpOutTimeExcds(17) Counter RO 发 出 的 超时 型 ICMP 报 文 
icmpOutParmProbs(18) Counter RO 发 出 的 有 参数 问题 型 ICMP 报 文 
icmpOutSrcQuenchs(19) Counter RO 发 出 的 源 抑制 型 ICMP 报 文 
icmpOutRedirects(20) Counter RO 发 出 的 重 定 向 型 ICMP 报 文 
icmpOutEchos(21) Counter RO 发 出 的 回声 请 求 型 ICMP 报 文 
icmpOutEchoReps(22) Counter RO 发 出 的 回声 响应 型 ICMP 报 文 
icmpOutTimestamps(23) Counter RO 发 出 的 时 间 截 请 求 型 ICMP 报 文 
icmpOutTimestampReps(24) Counter RO 发 出 的 时 间 惟 响应 型 ICMP 报 文 
icmpOutAddrMasks(25) Counter RO 发 出 的 地 址 掩 码 请 求 型 ICMP 报 文 


icmpOutAddrMaskReps(26) Counter RO 发 出 的 地 址 掩 码 响应 型 ICMP 报 文 
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对 于 有 附加 代码 的 ICMP 报 文 ,例如 ,为 区 分 目的 不 可 达 的 15 种 报 文 ,需要 有 代码 说 
明 , 但 SNMP 没有 为 此 定义 专门 的 计数 器 。 





6. tcp 组 


tcp 组 包含 与 TCP 协议 的 实现 和 操作 有 关 的 信息 , 表 7-17 给 出 了 tcp 组 中 的 被 管 对 
象 。 这 一 组 的 前 3 项 与 重 传 有 关 。 一 个 TCP 实体 发 送 数据 段 后 , 便 开始 等 待 应答 并 开始 计 
时 。 如 果 超 时 且 没 得 到 应 答 , 则 认为 数据 段 丢失 了 ,因此 要 重新 发 送 。 该 组 对 象 
tcpRtoAlgorithem 说 明 计 算 重 传 时 间 的 算法 ,其 可 取 的 值 如 下 。 


表 7-17 tcp 组 被 管 对 象 





对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
tcpRtoAlgorithm(1) INTEGER RO 重 传 时 间 算 法 
tcpRtoMin(2) INTEGER RO 重 传 时 间 最 小 值 
tcpRtoMax(3) INTEGER RO 重 传 时间 最 大 值 
tcpMaxConn(4) INTEGER RO 可 建立 的 最 大 连接 数 
tcpActiveOpens(5) Counter RO 主动 打开 的 连接 数 
tcpPassiveOpens(6) Counter RO 被 动 打开 的 连接 数 
tcpAttemptFails(7) Counter RO 连接 建立 失败 数 
tcpEstabResets(8) Counter RO 连接 复位 数 
tcpCurrEstab(9) Gauge RO 状态 为 established 或 closeWait 的 连接 数 
tcpInSegs(10) Counter RO 接收 的 TCP 段 总 数 
tcpOutSegs(11) Counter RO 发 送 的 TCP 段 总 数 
tcpRetransSegs(12) Counter RO 重 传 的 TCP 段 总 数 
tcpConnTable(13) SEQUENCE OF NA TCP 连接 表 
tcpInErrors(14) Counter RO 接收 的 出 错 TCP 段 数 
tcpOutRsts(15) Counter RO 发 出 的 含 RST 标志 的 段 数 


other(1) : 不 属于 以 下 3 种 类 型 的 其 他 算法 。 
constant(2): 重 传 超时 值 为 常数 。 
rsre(3): 这 种 算法 根据 通信 情况 动态 地 计算 超时 值 , 即 把 估计 的 周转 时 间 ( 来 回 传 


送 一 周 的 时 间 ) 乘 一 个 倍数 。 这 种 算法 是 美国 军用 TCP 标准 MIL-STD-1778 定 


义 的 。 


化 较 大 时 比 前 一 种 算法 好 。 

tcp 组 的 简单 对 象 都 是 只 读 的 , 即 SNMP 只 能 从 协议 栈 获 得 TCP 传输 层 的 工作 情况 。 

tcp 组 只 包含 一 个 连接 表 , 如 表 7-18 所 示 。 对 于 每 个 TCP 连接 ,都 对 应 表格 中 的 一 条 
记录 。 每 条 记录 包含 5 个 变量 : 连接 状态 、 本 地 IP 地 址 、 本 地 端口 号 、 远 端 IP 地 址 和 远 端 


vanj(4) : 这 是 由 Van Jacobson 发 明 的 一 种 动态 算法 。 这 种 算法 在 网 络 周转 时 间 变 





端口 号 。 
表 7-18 tep 连接 表 (tcpConnTable) 被 管 对 象 
对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
tcpConnState(1) INTEGER(1..12) 连接 状态 : 管理 进程 对 此 变量 可 以 设 


置 的 唯一 值 为 12( 立 即 终止 此 连接 ) 
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续 表 
对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
tcpConnLocalAddress(2) IpAddress RO ”本 地 也 地 址 ,0.0.0.0 代表 监听 进程 原 
意 在 任何 接口 接受 连接 
tcpConnLocalPort(3) INTEGER(1..65 535) RO ”本 地 端口 号 
tcpConnRemAddress(4) IpAddress RO ”远程 IP 地 址 
tcpConnRemPort(5) INTEGER(1..65 535) RO ”远程 端口 号 


TCP 的 连接 状态 取 自 MIL-STD-1778 标准 的 TCP 连接 状态 图 。 变 量 tcpConnState 可 
取 下 列 值 : closed (1); listen(2); synSent(3); synReceived(4) established(5); finWaitl (6); 
finWait2(7); closeWait(8); lastAck(9); closing(10); timeWait(11); deleteTCB(12) 。 


7. udp 组 
udp 组 包含 的 对 象 都 是 必要 的 ,提供 了 关于 UDP 数据 报 和 本 地 接收 端点 的 详细 信息 。 
udp 组 的 被 管 对 象 如 表 7-19 所 示 , 除 了 说 明 收 发 UDP 报 文 计数 情况 的 4 个 简单 对 象 ,还 有 


一 个 包含 UDP 用 户 信息 的 UDP 表 。 不 过 UDP 表 相 当 简 单 ,只 有 本 地 地 址 和 本 地 端口 两 
项 数据 。 


表 7-19 udp 组 被 管 对 象 





对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
udpInDatagrams(1) Counter RO 接收 的 数据 报 总 数 
udpNoPorts(2) Counter RO 接收 的 端口 无 应 用 的 数据 报 总 数 
udpInErrors(3) Counter RO 接收 的 无 法 递交 的 数据 报 总 数 
udpOutDatagrams(4) Counter RO 发 送 的 数据 报 总 数 
udpTable(5) SEQUENCE OF NA UDP 表 
udpEntry(udpTable. 1= x) SEQUENCE NA UDP 表 项 
udpLocalAddress(x. 1) IpAddress RO UDP 用 户 的 本 地 IP 地 址 
udpLocalPort(x. 2) INTEGER RO UDP 用 户 的 本 地 端口 号 

8. egp 组 


egp 组 提供 了 关于 EGP 路 由 器 发 送 和 接收 的 EGP 报 文 的 信息 ,以 及 一 个 关于 EGP 邻 
居 详 细 信 息 的 egpNeighTable 表 。 表 7-20 给 出 了 该 组 中 的 对 象 。 


表 7-20 egp 组 被 管 对 象 





对 象 名 ( 子 标识 符 ) 语 法 访问 方式 功能 描述 
egpInMsgs(1) Counter RO 接收 的 正确 EGP 报 文 数 
egpInErrors(2) Counter RO 接收 的 错误 EGP 报 文 数 
egpOutMsgs(3) Counter RO 本 地 产生 的 EGP 报 文 数 
egpOutErrors(4) Counter RO 因 出 错 不 能 发 送 的 EGP 报 文 数 
egpNeighTableC5) SEQUENCE OF NA 邻居 表 ( 表 内 对 象 略 ) 

egpAs(6) INTEGERS RO 本 地 自治 系统 编号 


MIB-[ 中 还 定义 了 cmot 组 transmission 组 和 snmp 组 ,各 个 组 中 包含 的 信息 在 此 不 
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再 效 述 了 ,需要 的 读者 可 以 查看 相关 网 络 管理 的 资料 。 


7.4.4 SNMP 安全 机 制 


SNMP vl 在 一 开始 设计 实现 时 的 安全 机 制 比较 脆弱 ,通信 不 加 密 ,所 有 通信 字符 串 和 
数据 都 以 明文 形式 发 送 ,因此 攻击 者 一 旦 捕获 了 网 络 通信 ,就 可 以 利用 各 种 嗅 探 工具 直接 获 
取 通 信 字 符 串 。 这 样 的 设计 简化 了 协议 的 实现 ,尽管 不 够 完善 ,但 对 SNMP 的 推广 是 有 利 
的 。SNMP v2 较 SNMP vl 有 所 改进 ,但 在 安全 机 制 上 也 没有 什么 突破 ,直到 SNMP v3 才 
基本 解决 了 SNMP 的 安全 问题 。 实 际 的 网 络 产品 从 方便 应 用 的 角度 都 依据 SNMP 规范 ， 
保留 了 对 SNMP vl 和 SNMP v2c 的 支持 ,就 是 为 了 适应 网 络 的 不 同 环境 或 应 用 的 具体 要 
求 。 所 以 这 里 主要 介绍 SNMP vl 的 安全 机 制 ,以 对 SNMP 的 安全 问题 建立 基本 的 认识 。 


1. SNMP 服务 和 访问 控制 


如 前 所 述 , 一 个 SNMP 管理 系统 由 配置 了 管理 实体 的 管理 站 和 驻 留 了 代理 实体 的 代理 
组 成 。 在 对 被 管 对 象 访问 时 ,SNMP 规定 只 能 交换 简单 被 管 对 象 的 信息 ,条 目 和 表格 对 象 
不 能 直接 访问 和 交换 。SNMP 通过 5 种 消息 对 网 络 进行 管理 ,从 管理 站 发 给 代理 的 消息 有 
3 种 ,用 于 请 求 读 取 (GetRequest,GetNextRequest) 或 修改 (SetRequest) 被 管 对 象 处 的 管理 
信息 ; 从 代理 发 给 管理 站 的 信息 有 两 种 ,一 种 用 于 对 各 种 request 进行 应 答 (GetResponse) , 另 
一 种 用 于 主动 向 管理 站 报告 代理 系统 中 发 生 的 特殊 事件 (trap) 。 

在 SNMP 体系 结构 中 ,管理 站 中 的 管理 实体 和 代理 中 的 代理 实体 被 称 为 SNMP 的 应 
用 实体 ,而 实现 SNMP 通信 协议 对 应 用 实体 进行 支持 的 实体 被 称 为 协议 实体 。 在 实际 的 管 
理 中 ,管理 站 和 代理 之 间 可 以 是 一 对 多 、 多 对 一 和 多 对 多 等 关系 。 由 于 一 个 代理 可 以 收 到 来 
自 不 同 管理 站 对 被 管 对 象 的 操作 命令 ,因此 ,需要 进行 被 管 对 象 的 访问 控制 。 为 了 实现 访问 
控制 ,需要 解决 以 下 3 个 方面 的 问题 。 

。 认证 服务 : 将 对 MIB 的 访问 限定 在 授权 的 管理 站 的 范围 内 。 

。 访 问 策略 : 对 不 同 的 管理 站 给 予 不 同 的 访问 权限 。 

。 代 管 服务 : 在 代 管 系统 中 ,实现 托管 站 的 认证 服务 和 访问 权限 。 


2. 团体 (community) 的 概念 


SNMP 通过 团体 (community) 的 概念 来 解决 上 述 问 题 。 团 体 是 一 个 在 代理 中 定义 的 本 
地 的 概念 。 代 理 为 每 组 可 选 的 认证 ,访问 控制 和 代 管 特性 建立 一 个 团体 ,每 个 团体 被 赋予 一 
个 在 代理 内 部 唯一 的 团体 名 ,该 团体 名 要 提供 给 团体 内 的 所 有 的 管理 站 ,以 便 它们 在 get 和 
set 操作 中 应 用 。 一 个 代理 可 以 与 多 个 管理 站 建立 多 个 团体 ,同一 个 管理 站 也 可 以 出 现在 不 
同 的 团体 中 。 

由 于 团体 是 在 代理 本 地 定义 的 ,因此 不 同 的 代理 可 能 会 定义 相同 的 团体 名 。 团 体 名 相 
同 并 不 意味 着 团体 有 什么 相似 之 处 ,因此 ,管理 站 必须 将 团体 与 代理 联系 起 来 加 以 应 用 。 


3. 简单 的 认证 服务 


认证 服务 的 目的 是 为 保证 通信 是 可 信 的 ,. 即 保证 收 到 的 消息 来 自 它 所 声称 的 消息 源 。 
SNMP 规定 所 有 管理 站 发 向 代理 的 消息 都 包含 一 个 团体 名 (community) ,这 个 名 字 发 挥 着 
口令 的 作用 ,尽管 这 个 名 字 在 传输 时 没有 加 密 。SNMP 只 提供 这 一 种 简单 的 认证 模式 : 如 
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果 发 送 者 知道 这 个 口令 , 则 认为 消息 是 可 信 的 。 

通过 这 种 简单 的 认证 形式 ,网 络 管理 员 可 以 对 监测 Cget,trap) 特 别 是 控制 (set) 操 作 进 
行 限制 。Community 名 被 用 于 启动 一 个 认证 过 程 , 而 认证 过 程 可 以 包含 加 密 和 解密 ,以 实 
现 更 安全 的 认证 。 可 见 ,SNMP vl 的 安全 机 制 是 不 安全 的 ,而 且 团 体 名 以 明文 形式 传递 易 
被 窃取 ,这 也 正 是 SNMP v2 和 SNMP v3 试图 改进 的 主要 地 方 。 


4. 访问 策略 


通过 定义 团体 ,代理 将 有 权 访 问 它 的 MIB 的 管理 站 进行 限定 。 使 用 多 个 团体 名 ,还 可 
以 为 不 同 的 管理 站 提供 不 同 的 MIB 访问 控制 。 访 问 控制 包含 以 下 两 个 方面 。 

(1) SNMP MIB 视图 : MIB 中 对 象 的 一 个 子 集 。 可 以 为 每 个 团体 定义 不 同 的 MIB 视 
图 。 视 图 中 的 对 象 子 集 可 以 不 在 MIB 的 一 个 子 树 之 内 。 

(2) SNMP 访问 模式 : 为 每 个 团体 定义 一 个 团体 的 访问 模式 ,可 以 有 READ-ONLY 或 
READ-WRITE 两 种 模式 。 

MIB 视图 和 访问 模式 的 结合 被 称 为 SNMP community 轮廓 (profile, 也 称 为 团体 形 
象 ) , 即 一 个 community 轮廓 由 代理 系统 中 MIB 的 一 个 子 集 加 上 一 个 访问 模式 构成 。MIB 
视图 中 的 所 有 对 象 采用 同一 个 访问 模式 。 例 如 ,如 果 选 择 了 READ-ONLY 访问 模式 , 则 管 
理 站 对 视图 中 的 所 有 对 象 都 只 能 进行 read-only 操作 。 

在 一 个 community 轮廓 之 内 ,存在 两 个 独立 的 访问 限制 : MIB 对 象 定义 中 的 访问 限制 
(对 象 定义 中 的 ACCESS 子 句 ) 和 SNMP 访问 模式 。 这 两 个 访问 限制 在 实际 应 用 中 必须 相 
互 协 调 , 且 它 们 的 协调 规则 构成 访问 策略 。 

可 以 认为 MIB 对 象 定 义 的 访问 限制 具有 更 高 的 约束 ,如 MIB 中 定义 为 NA (not- 
accessible, 不 可 访问 ) , 则 不 论 团体 形象 的 访问 模式 是 什么 ,都 不 能 够 操作 管理 对 象 ; MIB 
定义 为 read-only 的 对 象 , 则 不 论 访问 模式 是 否定 义 为 可 写 , 都 只 有 Get、Trap 这 样 的 读 操 
作 可 用 ; MIB 定义 中 有 写 操作 (read-write 或 write-only) , 则 访问 模式 若是 READ-ONLY， 
则 Get、Trap 可 用 ; 若是 READ-WRITE, 则 Get、Trap 和 SET 均 可 用 。 

归结 起 来 ,SNMP 访问 策略 由 SNMP 团体 和 团体 形象 构成 ,其 中 SNMP 团体 是 SNMP 
代理 和 管理 站 的 集合 ,SNMP 团体 形象 是 SNMP 视图 和 访问 模式 的 结合 。 


5. 代 管 服务 


community 的 概念 对 支持 代 管 服务 也 是 有 用 的 。 在 SNMP 中 , 代 管 是 指 为 设备 提供 管 
理 通 信服 务 的 代理 。SNMP 要 求 所 有 的 代理 设备 和 管理 站 都 必须 实现 TCP/IP 协议 。 对 于 
不 支持 TCP/IP 的 设备 (例如 , 某 些 网 桥 、 调 制 解 调 器 .个 人 计算 机 和 可 编程 控制 器 等 ) ,不 能 
直接 用 SNMP 进行 管理 。 为 此 ,提出 了 委托 代理 即 代 管 的 概念 。 一 个 代 管 即 委托 代理 设备 
可 以 管理 若干 台 非 TCP/IP 设备 ,并 代表 这 些 设 备 接收 管理 站 的 查询 。 实 际 上 , 代 管 起 到 了 
协议 转换 的 作用 , 代 管 和 管理 站 之 间 按 SNMP 协议 通信 ,而 与 被 管理 设备 之 间 则 按 专用 的 
协议 通信 。 

对 于 每 个 托管 设备 , 代 管 系统 维护 一 个 对 它 的 访问 ,以 此 使 代 管 系统 知道 哪些 MIB 对 
象 可 以 被 用 于 管理 托管 设备 和 能 够 用 何 种 模式 对 其 进行 访问 。 
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7.4.5 SNMP 报 文 


由 于 SNMP 依赖 于 UDP, 所 以 SNMP 本 身 也 是 无 连接 协议 。 在 管理 站 和 其 代理 之 间 
不 维持 连续 连接 ,相反 每 一 次 信息 交换 都 是 管理 站 和 代理 之 间 的 独立 行为 。 

SNMP 选择 UDP 协议 是 因为 UDP 效率 高 ,网 络 管理 不 会 太 多 增加 网 络 负载 。 但 由 于 
UDP 不 是 很 可 靠 ,所 以 SNMP 报 文 容易 丢失 。 为 此 ,对 SNMP 实现 的 建议 是 对 每 个 管理 信 
息 要 装配 成 单独 的 数据 报 且 独立 发 送 ,而 且 报 文 较 短 , 不 超过 484 字 节 。 


1. SNMP 报 文 格式 


在 SNMP 管理 中 ,管理 站 和 代理 之 间 交 换 的 管理 信息 构成 了 SNMP 报 文 。 报 文 由 3 
部 分 组 成 , 即 版 本 号 、 团 体 名 和 协议 数据 单元 (PDU)。 图 7-20 为 SNMP 报 文 的 封装 和 各 种 
PDU 的 构成 。 





version | community SNMP PDU 





(a) SNMP 报 文 格式 





PDU type | request-id 0 0 | variable-bindings 





(b) GetRequest-PDU ~、 GetNextRequest-PDU 和 SetRequest-PDU 











PDU type | request-id error-status error-index | variable-bindings 





(c) GetResponse-PDU 





agent- | generaic- specific- time- variable- 
addr trap trap stamp bindings 





PDUtype | enterprise 





(d) Trap-PDU 





namel | valuel | name2 | value2 “ | namen | valuen 




















(e) Variable-bindings 


7-20 SNMP 报 文 和 PDU 格式 


从 图 7-20(a) 中 可 以 看 到 ,SNMP PDU 加 上 团体 名 ,版 本 号 充当 的 头 部 构成 了 应 用 层 的 
协议 数据 单元 ,也 就 是 SNMP 报 文 。 在 其 前 面 再 加 上 UDP 的 头 部 就 构成 传输 层 的 协议 数 
据 单元 。 

SNMP Get 和 Set 在 主机 的 161 端口 被 接收 ,而 Trap 是 在 162 端口 被 接收 。SNMP v1 
协议 的 最 大 长 度 为 484 个 字 节 。SNMP 有 5 种 管理 操作 ,但 只 有 3 种 PDU 格式 。 其 中 
GetRequest PDU、GetNextRequest PDU 同 SetRequest PDU 有 一 样 的 格式 ,它们 的 错误 状 
态 和 错误 索引 域 总 是 被 设置 为 0, 如 图 7-20(b) 所 示 。 这 个 约定 减少 了 SNMP 实体 必须 处 
理 的 不 同 PDU 格式 的 数目 。 

代理 的 应 答 报 文 格式 只 有 一 种 GetResponse PDU ,这 样 的 设计 也 减少 了 PDU 的 种 类 。 
从 图 7-20(c) 中 也 可 以 看 到 ,其 PDU 格式 和 Get、Set 操作 的 PDU 格式 对 应 ,以 返回 相应 的 
响应 信息 。 

图 7-20(d) 给 出 了 Trap PDU 中 要 指明 的 发 生 自 陷 的 被 管 对 象 的 有 关 人 信息。 各 类 
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SNMP 报 文 和 PDU 字段 的 含义 如 表 7-21 所 示 。 
表 7-21 SNMP 报 文 和 PDU 字段 





字 段 数据 类 型 描 述 
vension INTEGER SNMP 版 本 
community OCTET STRING 团体 名 
PDU type INTEGER PDU 类 型 GetRequest (0 )，GetNextRequest (1 )， 
GetResponse(2) ,SetRequest(3) ,trap(4) 
request-id INTEGER 为 每 个 请 求 提供 一 个 唯一 的 ID 
error-status INTEGER 代理 返回 的 错误 
error-index INTEGER 指出 列表 中 的 哪个 变量 引起 了 错误 
variable-bindings ObjectName,ObjectSyntax 一 系列 变量 名 及 其 对 应 值 的 清单 
enterprise OBJECT IDENTIFIER 产生 自 陷 的 对 象 的 类 型 
agent-addr IpAddress 产生 自 陷 的 对 象 的 地 址 
generic-trap INTEGER 一 般 自 陷 类 型 
specific-trap INTEGER 特定 的 自 陷 代码 
time-stamp TimeTicks 在 网 络 实体 初始 化 和 自 陷 产 生 之 间 的 时 间 , 即 sysUpTime 


的 值 


GetResponse-PDU 中 的 SNMP 差错 状态 (error-status) 非 0 时 ,表示 代理 在 完成 管理 
站 的 请 求 时 发 生 的 错误 ,其 可 能 的 取 值 和 含义 如 表 7-22 所 示 。 差 错 索 引 (errorindex) 是 一 
个 整数 偏 移 量 ,指明 当前 差错 发 生 时 ,差错 发 生 在 哪个 参数 。 
表 7-22 SNMP 差错 状态 





差错 状态 名 称 描 述 
0 noError 没有 错误 
1 tooBig 代理 进程 无 法 把 响应 的 数据 放 在 一 个 报 文中 发 送 
2 noSuchName 操作 一 个 不 存在 的 变量 
3 badValue set 操作 的 值 或 语义 有 错误 
4 readOnly 管理 进程 试图 修改 一 个 只 读 变 量 
5 genErr 其 他 错误 


SNMP 的 自 陷 (trap) 报 文中 用 字段 generic-trap( 一 般 自 陷 ) 来 指明 自 陷 的 类 型 ,基本 的 


自 陷 类 型 定义 如 表 7-23 所 示 。 


表 7-23 SNMP 自 陷 类 型 





trap 类 型 名 称 描 述 
0 coldStart 代理 配置 更 改 , 实 体重 新 初始 化 
| warmStart 代理 进程 重新 初始 化 ,正常 重启 
2 linkDown 接口 链 路 失效 ,由 变量 绑 定 表 的 第 一 项 标识 接口 表 的 索引 变量 和 值 
3 linkUp 接口 链 路 启动 ,由 变量 绑 定 表 的 第 一 项 标识 接口 表 的 索引 变量 和 值 
4 authenticationFailure ”从 管理 站 收 到 一 个 未 通过 认证 的 报 文 
5 egpNeighborLoss 相 邻 的 外 部 路 由 器 失效 
6 enterpriseSpecific 由 设备 制造 商 自 定义 的 陷入 
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2. SNMP 报 文 的 发 送 和 接收 


当 一 个 SNMP 实体 执行 动作 ,以 传送 5 个 PDU 类 型 之 一 到 另 一 个 SNMP 实体 时 ,一 
般 都 要 按 下 述 过 程 来 操作 (以 SNMP vl 为 例 )。 

(1) 用 相应 的 SNMP 版 本 中 定义 的 ASN. 1 的 格式 构造 PDU 。 

(2) 把 该 PDU 连同 源 和 目的 地 址 (IP 地 址 和 端口 号 ) 团体 名 一 起 传送 给 认证 服务 , 返 
回 认证 后 的 结果 。 

(3) 协议 实体 根据 上 面 的 结果 和 版 本 号 .团体 名 构造 SNMP 报 文 。 

(4) 使 用 基本 编码 规则 ,给 新 的 ASN. 1 对 象 编码 ,并 传递 给 传输 实体 发 送出 去 。 

当 SNMP 协议 实体 接收 到 报 文 时 ,应 执行 下 述 过 程 。 

(1) 按照 BER 编码 恢复 ASN. 1 报 文 。 

(2) 对 报 文 进行 版 本 号 验证 和 认证 检查 。 如 果 通 过 分 析 和 验证 , 则 分 离 出 PDU; 若 认 
证 失败 ,认证 服务 发 出 一 个 自 陷 报 文 并 抛弃 该 报 文 。 

(3) 对 PDU 进行 语法 检查 。 若 合法 , 则 根据 团体 名 选择 SNMP 访问 策略 ,对 PDU 进 
行 相应 的 处 理 ; 否则 ,丢弃 该 PDU。 


7.4.6 SNMP 操作 


所 有 的 SNMP 操作 都 涉及 对 对 象 实例 的 访问 。 在 一 个 对 象 标识 树 中 ,只 有 叶 结 点 对 象 
可 以 被 访问 ,也 就 是 说 ,只 有 标量 对 象 可 以 被 访问 。 但 是 在 SNMP 中 ,将 一 些 相 同类 型 的 操 
作 (Get,Set,Trap) 可 以 组 合 到 一 条 报 文中 去 。 因 此 ,如 果 管理 站 想 要 得 到 特定 代理 的 某 个 
组 中 所 有 标量 对 象 的 值 , 它 可 以 只 发 送 一 条 报 文 来 获得 多 个 对 象 的 取 值 ,然后 得 到 一 个 列 出 
了 所 有 值 的 响应 。 为 此 ,所 有 的 SNMP PDU 都 包括 一 个 variable-bindings 域 , 即 变量 绑 定 
域 ,这 个 域 由 一 系列 对 象 实例 标识 符 的 序列 及 相应 的 对 象 值 组 成 。 这 项 技术 能 够 极 大 地 减 
少 网 络 管理 的 通信 负担。 

在 SNMP 操作 中 ,管理 站 到 代理 用 Get、GetNext 和 Set 操作 ,而 代理 到 管理 站 的 操作 
是 Get 和 Trap。 图 7-21 描述 了 这 5 种 操作 ,从 图 中 可 以 看 到 ,管理 站 和 代理 之 间 的 信息 交 
换 除 了 Trap 外 ,都 以 一 问 一 答 式 的 交互 方式 进行 。 下 面 讨论 各 种 命令 的 执行 过 程 及 其 在 
网 络 管理 中 的 应 用 。 
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图 7-21 SNMP 的 5 种 操作 
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1. 检索 简单 对 象 


检索 简单 的 标量 对 象 值 可 以 使 用 Get 操作 ,如果 变 量 绑 定 表 中 包含 多 个 变量 ,一 次 还 可 
以 检索 多 个 标量 对 象 的 值 ,接收 GetRequest 的 SNMP 实体 以 请 求 标识 相同 的 GetResponse 
响应 。 要 注意 的 是 GetResponse 操作 的 原子 性 : 如 果 所 有 请 求 的 对 象 值 均 可 以 得 到 , 则 给 
予 应 答 ; 反之 ,只 要 有 一 个 对 象 的 值得 不 到 , 则 可 能 返回 下 列 错误 条 件 之 一 (如 表 7-22 
所 示 ) 。 
。 noSuchName: 表示 变量 绑 定 表 中 的 一 个 对 象 无 法 与 MIB 中 的 任何 对 象 标识 符 匹 
配 , 或 者 要 检索 的 对 象 是 一 个 子 树 或 表 , 没 有 对 象 实例 生成 。 
。 tooBig: 表示 响应 实体 可 提供 所 有 要 检索 的 值 , 若 其 变量 太 多 ,将 导致 一 个 响应 
PDU 装 不 下 。 
。 genErr: 表示 在 响应 实体 一 个 对 象 的 值 也 不 能 提供 时 ,变量 绑 定 表 中 不 返回 任 
何 值 。 
例如 , 若 网 络 管理 站 要 从 代理 中 检索 UDP 组 中 所 有 简单 对 象 (参见 表 7-19) 的 取 值 , 管 
理 站 可 以 发 送 一 个 GetRequest PDU ,并 在 检索 命令 中 直接 指明 对 象 实体 的 标识 符 。 


GetRequest (udpInDatagrams. 0,udpNoPorts. 0, udpInErrors. 0, udpOutDatagrams. 0) 


如 果 代 理 中 该 团体 的 MIB 视 域 支持 所 有 对 象 , 则 会 给 4 个 对 象 返 回 一 个 
GetResponse PDTU 。 


GetResponse( udpInDatagrams. 0 = 17 346, udpNoPorts.0 = 2552, udpInErrors. 0 = 0,udpOutDatagrams.0 
=17 090) 


其 中 17 346、2552、0、17 090 分 别 为 4 个 对 象 实例 的 取 值 。 

GetNextRequest 的 作用 与 GetRequest 基本 相同 ,其 PDU 格式 也 相同 。 唯 一 的 区 别 是 
GetRequest 检索 变量 名 所 指 的 对 象 实 例 ,而 GetNextRequest 检索 变量 名 所 指 的 是 “下 一 
个 ”对 象 实例 。 根 据 对 象 标识 树 的 词典 顺序 ,对 于 标量 对 象 ,对 象 标识 符 所 指 的 下 一 实例 就 
是 对 象 的 值 。 如 采用 下 面 GetNextRequest 的 命令 ,将 得 到 和 上 例 一 样 的 结果 : 


GetNextRequest (udpInDatagrams, udpNoPorts, udpInErrors, udpOutDatagrams) 


MIB 中 没有 实现 的 对 象 ,在 检索 时 ,SNMP 将 得 到 对 象 标 识 符 所 指 的 “下 一 个 ”对 象 实 
例 的 值 。 

例如 ,如 果 代 理 不 支持 管理 站 对 udpNoPorts 的 访问 , 则 响应 将 不 同 。 如 发 出 同样 的 命 
令 : GetNextRequest (udpInDatagrams, udpNoPorts, udpInErrors, udpOutDatagrams), 而 
得 到 的 响应 可 能 如 下 。 


GetResponse( udpInDatagrams. 0 = 17 346, udpInErrors. 0 = 0, udpInErrors.0 = 0,udpoutDatagrams.0= 
17 090) 


这 是 因为 变量 名 udpNoPorts 和 udpInErrors 的 下 一 个 对 象 实例 都 是 udpInErrors. 0 一 0。 
可 见 当 代理 收 到 一 个 GetNext 请 求 时 ,如 果 能 检索 到 所 有 的 对 象 实例 , 则 返回 请 求 的 每 一 
个 值 ; 另 一 方面 ,如 果 有 一 个 值 不 可 或 不 能 提供 , 则 返回 该 实例 的 下 一 个 值 。 
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2. 检索 未 知 对 象 


GetNext 命令 检索 变量 名 指示 的 下 一 个 对 象 实例 ,但 是 并 不 要 求 变量 名 是 对 象 标识 符 
或 者 是 实例 标识 符 。UdpInDatagrams 是 简单 对 象 , 它 的 实例 标识 符 是 udpInDatagmms. 0， 
而 udpInDatagmms. 2 并 不 表示 任何 对 象 。 在 上 面 的 例子 中 , 若 发 出 GetNextRequest 
(udpInDatagmms. 2) ,将 得 到 的 响应 是 GetResponse(udpNoPorts. 0 二 2552) ,表明 代理 没有 
检查 标识 符 udpInDatagrams. 2 的 有 效 性 , 而 是 直接 查找 下 一 个 有 效 的 标识 符 , 得 到 
udpInDatagrams. 0 后 返回 它 的 下 一 个 对 象 实例 。 


3. 检索 表 对 象 


SNMP 只 允许 提取 MIB 树 中 叶子 对 象 的 值 ,不 能 只 通过 一 个 表 或 一 个 条 目 对 象 的 名 称 
(标识 符 ) 来 GetNext, 获 取 整 个 表 或 整 行 的 对 象 值 。 借 助 表 的 索引 值 ,可 有 效 地 表示 出 表 中 
标量 对 象 的 实例 标识 符 ,进而 可 以 搜索 表 对 象 ,这 已 在 7.4. 2 节 里 作 过 介绍 (参见 表 7-6 和 
表 7-8)。 

例如 ,对 表 7-11 表示 的 接口 组 , 若 发 出 下 面 的 命令 ,可 检索 iNumber 的 值 。 


GetRequest(1.3.6.1.2.1.2.1.0) 


结果 若 为 GetResponse(2) ,这 样 知道 系统 中 有 两 个 接口 。 如 果 进 一 步 想 要 知道 每 个 接口 的 
数据 速率 ,可 以 用 下 面 的 命令 检索 计 表 中 的 第 5 个 元 素 。 


GetRequest(1.3.6.1.2.1.2.2.1.5.1) 


最 后 的 1 就 是 索引 项 ifIndex 的 值 .反映 了 第 一 个 接口 的 速率 。 得 到 的 响应 若是 
GetResponse(10000000), 则 说 明 第 一 个 接口 的 数据 速率 是 10Mb/s。 若 要 得 到 第 二 个 接口 
的 速率 ,可 用 如 下 命令 。 


GetNextRequest(1.3.6.1.2.1.2.2.1.5.1) 


假定 得 到 的 是 GetResponse(56000) , 则 说 明 第 二 个 接口 的 数据 速率 为 56Kb/s。 

若 管理 站 希望 能 检索 整个 表 , 但 又 不 知 其 中 的 内 容 和 表 中 的 行 数 , 则 可 连续 使 用 
GetNext 命令 ,代理 将 按 词 典 顺序 返回 MIB 中 的 下 个 对 象 值 , 从 而 获得 表 行 的 值 。 当 到 达 
表 的 末 行 时 ,代理 仍然 会 按 此 返回 对 象 值 ,但 却 会 取得 表 外 的 对 象 值 。 管 理 站 可 以 通过 响应 
列表 中 对 象 的 名 称 与 请 求 不 匹配 而 得 出 表 已 到 达 了 末端 的 信息 。 


4. 对 象 值 的 更 新 和 表 的 删除 


Set 命令 用 于 设置 或 更 新 变量 的 值 。 其 PDU 格式 与 Get 相同 ,但 是 在 变量 绑 定 表 中 必 
须 包含 要 设置 的 变量 名 和 变量 值 。 对 于 Set 命令 的 应 答 也 是 GetResponse, 并 且 操 作 也 具 
有 原子 性 , 即 要 么 更 新 列表 中 的 所 有 变量 ,要 么 一 个 也 不 更 新 。 其 错误 状态 中 指明 出 错 的 原 
因 也 类 似 于 Get(tooBig ,noSuchname 和 genErr)。 然 而 若 有 一 个 变量 的 名 字 和 要 设置 的 值 
在 类 型 长 度 或 实际 值 方面 不 匹配 , 则 返回 错误 条 件 badValue。 

假如 Set 命令 指定 的 对 象 标识 符 不 存在 ,对 于 命令 如 何 执行 ,RFC 1212 有 如 下 3 种 
解释 。 
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(1) 代理 可 以 拒绝 这 个 命令 ,返回 错误 状态 noSuchName。 

(2) 代理 可 以 接受 这 个 命令 ,并 企图 生成 一 个 新 的 对 象 实例 ,但 是 发 现 被 斌 予 的 值 不 适 
当 , 因 而 返回 错误 状态 badValue。 

(3) 若是 对 表 的 更 新 操作 ,代理 也 可 以 按 命令 生成 一 个 新 的 表 行 。 

在 具体 实现 中 ,3 种 情况 都 是 有 可 能 的 。 

如 果 要 删除 表 中 的 一 行 , 则 可 以 把 一 个 对 象 的 值 设置 为 invalid, 如 


SetRequest( ipRouteType.7.3.5.3 = invalid) 


这 种 删除 是 物理 的 还 是 逻辑 的 ,要 巾 具 体 实 现 决定 。 在 MIB- 开 中 ,只 有 两 种 表 是 可 删 
除 的 : ipRouteTable 中 包含 的 ipRouteType, 还 有 就 是 ipNetToMediaTable 中 包含 的 
ipNetToMediaType, 均 可 取 值 为 invalid 。 


5. 自 陷 操 作 


自 陷 是 由 代理 向 管理 站 发 出 的 异步 事件 报告 ,不 需要 应 答 报 文 。SNMP PDU 中 的 字段 
指明 发 生 自 陷 的 具体 信息 ,参见 表 7-23。 


7.4.7 SNMP 报 文 实例 


为 更 直观 地 了 解 SNMP 的 工作 过 程 和 报 文 结构 ,下 面 对 用 Wireshark 从 网 络 中 获取 的 
SNMP 报 文 实例 进行 分 析 说 明 。 

图 7-22 所 示 为 在 局 域 网 中 的 两 个 节点 间 使 用 GetNextRequest 操作 ,在 检索 MIB 中 的 
第 一 个 对 象 实例 时 管理 进程 所 发 出 的 SNMP 报 文 。 














田 ITnternet Protocol Version 4, Src: 192.168.0.105 (192.168.0.105), Dst: 192.168.0.102 (192.168.0.102) 
日 User Datagram Protocol, Src Port: winjaserver (1290), Dst Port: snmp (161) 
Source port: winjaserver (1290) 
Destination port: snmp (161) 
Length: 45 
图 Checksum: Ox4c97 [validation disabled] 


Vv sion-1 
community: public 


日 dara: get-next-request (1) 
日 get-next-request 
request-id: 1 
error-status: noError (0) 
error-index: 0 
日 variable-bindings: 1 item 
日 1.3.6.1.2.1: Value (Nu11) 
objecr Name: 1.3.6.1.2.1〈iso.3.6.1.2.1) 
Value (Nu11) 








29 fF 
do 5 





图 7-22 SNMP GetNextRequest 报 文 实例 
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从 图 7-22 中 可 以 看 到 如 下 内 容 。 

(1) SNMP 报 文 封装 在 UDP 报 文中 ,管理 进程 使 用 本 地 端口 (UDP 端口 1290) ,代理 进 
程 使 用 的 是 周知 端口 , 即 UDP 端口 161。 

(2) 整个 SNMP 报 文 在 图 中 已 经 高 亮 显 示 , 在 包 原始 数据 窗 格 中 可 以 计算 出 高 亮 的 部 
分 即 SNMP 报 文 的 实际 长 度 为 37 字 节 。 由 于 整个 SNMP 报 文 的 编码 均 按照 BER 编码 ,所 
以 可 以 看 到 报 文 的 第 一 个 字 节 为 0x30, 表 示 数 据 的 类 型 为 SEQUENCE 构造 类 型 ,tag 值 为 
UNIVERSAL 16( 参 见 表 7-5 和 图 7-18) 。 第 二 个 字 节 为 整个 编码 的 数据 部 分 长 度 , 这 里 是 
0x23, 即 35 字 节 。 报 文中 的 各 个 部 分 都 采用 BER 编码 方式 并 层 层 嵌 套 , 查 看 时 请 注意 。 

(3) 版 本 号 取 值 为 0, 表 示 采 用 的 是 SNMP v1。 注 意 , 包 原始 数据 编码 为 3 个 字 节 ,为 
0x02、0x01 和 0x00。 

(4) 团体 名 称 community 的 值 为 public, 这 是 通常 SNMP 默认 的 团体 名 。 在 实际 应 用 
中 ,可 以 根据 需要 修改 ,只 要 管理 和 代理 一 致 即 可 。 

(5) 接 下 来 的 内 容 是 SNMP PDU 的 内 容 , 首 先是 类 型 字 节 ,图 7-22 中 为 0xal ,表示 这 
是 一 个 CONTEXT SPECIFIC 类 型 的 构造 ,其 中 的 tag 值 部 分 为 1, 指示 出 这 是 一 个 
GetNextRequest PDU。SNMP PDU 的 数据 长 度 为 0x16。 

(6) 请 求 标识 request-id 这 里 是 1 。 

(7) 数据 部 分 中 ,error-status 和 error-index 因为 是 发 出 的 请 求 ,所 以 值 均 为 0。 

(8) 变量 绑 定 表 variable-bindings 的 类 型 为 SEQUENCE, 所 以 编码 中 类 型 字段 的 值 为 
0x30, 同 时 每 一 个 变量 一 值 对 又 是 一 个 SEQUENCE, 本 例 中 只 有 检索 的 一 个 对 象 OID 
1. 3. 6. 1.2.1 和 值 。 可 以 看 到 ,正如 在 7.4.2 节 讲 到 的 ,1. 3. 6. 1 编码 为 43. 6. 1, 对 象 的 值 
是 NULL(tag 为 UNIVERSAL 5) 。 

为 更 直观 地 理解 SNMP PDU 编码 的 内 容 , 可 以 把 图 7-22 的 报 文 按 BER 编码 的 TLV 
嵌 套 层次 用 图 7-23 来 说 明 , 可 以 清楚 地 看 到 其 中 嵌 套 的 TLV 结构 。 


TLIITLVICTLE.]]..] 


3023 SEQUENCE ,长 度 0x23 
02 01 00 版 本 
04067075626c6963 ”团体 名 
al 16 GetNextRequest PDU ,长 度 0x16 
020101 
02 01 00 
02 01 00 
300b 变量 绑 定 表 , 长 度 0x0b 
3009 一 个 变量 值 对 ,长度 0x09 
06 05 2b 06 01 02 01 变量 OID 
05 00 变量 值 


图 7-23 SNMP PDU 的 BER 编码 赂 套 结构 示例 


图 7-24 是 执行 上 述 GetNextRequest 操作 后 得 到 的 代理 进程 发 出 的 GetResponse 
报 文 。 

从 图 7-24 中 可 以 看 到 如 下 内 容 。 

(1) SNMP 报 文 的 源 端口 为 UDP 端口 161, 报 文 按照 BER 编码 格式 ,第 一 个 字 节 是 
0x30, 指 示 出 编码 类 型 为 SEQUENCE。 接 下 来 为 长 度 域 ,使 用 0x81 和 0xa5 两 个 字 节 表 














2449 31.41726800'192.168.0.102 192.168.0.105 SNMP 210 get-response 1.3.6.1.2.1.1.1.0 


A 





© User Datagram Protocol, Src Port: snmp (161), Dst Port: winjaserver (1290) 
Source port: snmp (161) 
Destination port: winjaserver (1290) 
Length: 176 

Checksum: Ox82el [validation disabled] 

日 simple Network Management Protocol 

version: version-1 (0) 
" 





get-response 
request-id: 1 
error-status: noError (0) 
error-index: 0 
日 variable-bindings: 1 item 
日 1.3.6.1.2.1.1.1.0: 48617264776172653a207838362046616d696c792036204d. . . 
1.2.1.1.1.0 (iso0.3.6.1.2.1.1.1.0) 
: 48617264776172653a207838362046616d696c792036204d. . . 
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示 , 这 是 因为 数据 长 度 超过 了 128 字 节 ,BER 编码 用 长 度 域 的 第 一 个 字 节 说 明 其 后 表示 长 
度 的 字 节 数 ,这 里 的 是 1, 所 以 报 文 的 数据 部 分 长 度 为 0xa5, 即 165 个 字 节 。 更 多 BER 编码 
规则 可 以 参考 有 关 资 料 。 

(2) SNMP PDU 在 图 7-24 中 已 经 高 亮 显示 ,第 一 个 字 节 为 0xa2, 表明 这 是 一 个 
GetResponse PDTU 。 

(3) request-id 的 值 是 1, 这 说 明 该 SNMP PDU 是 与 图 7-22 中 PDU 对 应 的 响应 报 文 。 

(4) 返回 的 PDU 没有 差错 ,因此 error-status 和 error-index 的 值 均 为 0。 

GetNextRequest 操作 检索 MIB 中 的 第 一 个 对 象 实例 的 OID 是 1. 3. 6. 1. 2. 1. 1. 1. 0， 
返回 在 变量 绑 定 表 中 的 值 是 代理 所 在 节点 计算 机 的 系统 描述 (system. sysDescr) ,其 内 容 为 
8 位 的 字符 串 ,描述 了 节点 系统 的 软 硬 件 信息 。 

图 7-25 是 使 用 net-snmp 工具 构造 SNMP Trap 操作 时 从 网 络 中 捕获 的 Trap 报 文 实 
例 。 可 以 看 到 如 下 内 容 。 

(1) UDP 报 文 的 目的 端口 为 UDP 端口 162, 即 snmptrap。 

(2) 报 文 依然 是 按照 BER 编码 格式 ,第 一 个 字 节 是 0x30, 指示 出 编码 类 型 为 
SEQUENCE。 接 下 来 为 长 度 域 , 值 为 0x26。 

(3) SNMP PDU 在 图 7-25 中 已 经 高 亮 显示 ,第 一 个 字 节 为 0xa4, 表明 这 是 一 个 
Trap PDU, 

(4) enterprise 字段 处 是 OID: . 1. 3. 6. 1.4.1.1(internet. private. enterprise. 1), 这 是 
实验 时 自己 指定 的 OID。 

(5) agent-addr 是 发 送 Trap 的 代理 地 址 192. 168. 0. 102。 
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(SVN Rev n 下 
E Edt View Go Capture Anayze Statstics Telephony Took Intemas Help 
INo. Time Source Destination Protocol Length Info <^ 
235 81. 33894100,192.168-0-102 192.168.0.101 SNMP 82 trap 150.3.6.1.4.1.1 ~ 





Ce le ' 





Frame 235: 82 bytes on wire (656 bits), 82 bytes captured (656 bits) on interface 0 
a Ethernet II, src: Vmware_f2:fd:49 (00:0c:29:f2:fd:49), Dst: Giga-Byt_6c:5a:ee (00:1a:4d:6c:5a:ee; 
田 Internet Protocol Version 4, src: 192.168.0.102 (192.168.0.102), Dst: 192.168.0.101 (192.168.0. ee 
© User Datagram Protocol, Src Port: dict (2628), Dst Port: snmptrap (162) 
Source port: dict (2628) 
Destination port: snmptrap (162) 
Length: 48 
田 Checksum: Ox7f9c [validation disabled] 
日 Simple Network Management Protocol 
version: version-1 (0) 
community: public 








日 Tr 
enterprise: 1.3.6.1.4.1.1 (iso-3.6.1.4.1.1) 
agent-addr: 192.168.0.102 (192.168.0.102) 
generic-trap: enterprisespecific (6) 
specific-trap: 3 
time-stamp: 100 四 
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(6) generic-trap 类 型 为 6(enterpriseSpecific) ,specific trap 类 型 为 3, 这 都 是 实验 时 自 
行 指定 的 类 型 。 
(7) time-stamp 的 值 为 100, 这 是 发 送 Trap 时 代理 打上 的 时 间 改 。 


Cs5 小 结 


(1) UDP 是 传输 层 协议 中 最 简单 的 协议 ,提供 不 可 靠 . 无 连接 的 通信 服务 。 由 于 无 连 
接 降低 了 内 部 报 文 处 理 的 开销 ,并 不 需要 控制 和 管理 报 文 流量 ,因此 UDP 具有 较 好 的 通信 
效能 。 许 多 典型 应 用 协议 采用 了 UDP 协议 来 实现 ,如 RIP.DHCP、DNS 和 SNMP 等 。 

(2) 为 保持 简单 性 ,UDP 的 首部 简短 且 简 单 ,通过 IP 首部 的 协议 标识 符 ,可 选 的 校 验 
和 值 ,以 及 用 于 表示 收发 双方 应 用 进程 或 协议 进程 的 源 端 口号 和 目的 端口 号 组 成 。UDP 计 
算 检验 和 时 加 入 了 一 个 12 字 节 长 的 伪 首 部 ,从 而 使 得 校 验 和 具有 了 一 定 的 区 分 度 。 

(3) DNS 提供 了 人 类 方便 阅读 的 域名 对 应 到 机 器 可 阅读 的 IP 地 址 的 方法 ,因而 域名 系 
统 是 使 今天 的 Internet 成 为 可 能 的 关键 名 称 一 地 址 解析 技术 。DNS 数据 库 由 一 组 资源 记 
录 RR 组 成 ,这 些 数据 库 由 Internet 上 分 布 在 各 地 的 很 大 数量 的 名 称 服务 器 来 维护 。 

(4) DNS 客户 端 通过 解析 器 与 名 称 解析 服务 器 交互 。DNS 服务 器 回答 查询 ,或 者 查询 
其 他 名 称 服务 器 ,直到 得 到 查询 结果 为 止 , 这 是 递归 查询 方式 ; 如 果 返 回 的 是 可 以 完成 查询 
的 其 他 名 称 服务 器 ,这 就 是 迭代 查询 。 

(5) DNS 协议 封装 在 UDP 数据 报 中 传输 ,使 用 UDP 端口 53。DNS 数据 报 文 结构 其 
入 了 类 型 信息 , 它 标识 所 携带 的 RR 的 类 型 ,并 描述 记录 的 内 容 和 有 效 性 。 

(6) 动态 主机 配置 协议 DHCP 是 在 TCP/IP 网 络 上 使 客户 机 获得 配置 信息 的 协议 , 它 
基于 BOOTP 协议 ,并 在 BOOTP 协议 的 基础 上 添加 了 自动 分 配 可 用 网 络 地 址 等 功能 。 
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DHCP 使 得 在 网 络 中 对 计算 机 地 址 的 管理 变 得 很 容易 。DHCP 既 支持 动态 地 址 分 配 , 也 支 
持 手 工 或 静态 地 址 分 配 。 

(7) DHCP 客户 端 启动 时 发 起 DHCP 发 现 过 程 ,DHCP 服务 器 提供 地 址 配置 响应 ,经 
过 请 求 和 确认 阶段 后 完成 网 络 参 数 配置 。 在 租用 的 中 期 ,客户 端 会 发 起 租用 更 新 过 程 。 

(8) DHCP 封装 在 UDP 报 文 中 , BOOTP/DHCP 客户 端的 UDP 端口 号 为 68， 
BOOTP/DHCP 服务 器 的 UDP 端口 号 为 67。 

(9) DHCP 能 携带 多 种 多 样 的 配置 信息 ,支持 各 种 消息 类 型 选项 ,对 DHCP 给 定 的 消 
息 类 型 只 有 消息 类 型 53 是 强制 性 的 。 

(10) 简单 网 络 管理 协议 SNMP 是 IETF 针对 Internet 网 络 管理 制定 的 协议 ,目前 广泛 
地 运用 于 TCP/IP 网 络 中 ,完成 网 络 管理 的 任务 。SNMP 管理 模式 采用 管理 站 /代理 方式 ， 
其 管理 结构 由 管理 站 ,管理 代理 ,管理 信息 库 和 网 络 管理 协议 4 个 要 素 组 成 。SNMP 收集 
数据 采用 轮 询 和 中 断 相 结 合 的 方法 。 

(11) SNMP 协议 工作 在 应 用 层 并 基于 UDP, 其 基本 体系 结构 是 一 种 非 对 称 的 结构 , 即 
配置 为 管理 站 的 管理 实体 和 配置 为 代理 的 代理 实体 在 功能 和 协议 支持 的 操作 上 是 不 同 的 。 

(12) SNMP 采用 OSI 的 管理 信息 结构 SMI 来 定义 和 标识 管理 对 象 , 即 采 用 ISO 标准 
的 注册 对 象 树 中 的 对 象 标识 。SNMP 中 使 用 的 是 MIB- 开 子 树 。SNMP 采用 ASN. 1 宏 定 
义 表示 一 个 有 关 类 型 的 集合 的 方法 来 定义 对 象 类 和 对 象 。 一 个 管理 对 象 由 对 象 类 型 和 对 象 
实例 构成 ,用 对 象 标识 符 及 其 实例 来 表示 。SNMP 的 被 管 对 象 使 用 ASN. 1 中 的 4 个 基本 
数据 类 型 .2 种 结构 类 型 和 自 定义 的 6 种 数据 类 型 。 每 一 种 数据 类 型 有 相应 的 ASN. 1 标 
签 。SNMP 采用 BER 编码 方法 ,将 数据 转换 成 TLV 编码 格式 。 

(13) 管理 信息 库 MIB- 开 中 的 简单 对 象 (标量 对 象 ) 和 表 对 象 的 定义 是 不 同 的 ,在 描述 
对 象 的 实例 标识 符 时 也 有 所 不 同 , 表 不 能 用 简单 的 实例 标识 来 引用 ,需要 和 索引 字段 结合 
能 引用 到 表 当 中 的 实例 。 字 典 顺序 在 检索 对 象 的 实例 值 时 十 分 有 用 。 

(14) SNMP vl 的 安全 机 制 很 简单 ,采用 SNMP 团体 名 来 进行 身份 认证 ,通过 SNMP 
团体 形象 (SNMP MIB 视图 .SNMP 访问 模式 ) 来 实现 访问 控制 。 

(15) 对 应 于 5 种 SNMP 操作 ,SNMP 报 文 也 有 5 种 , 即 从 管理 站 发 给 代理 的 3 种 消 
息 ,包括 请 求 读 取 (GetRequest,GetNextRequest) 或 修改 (SetRequest) 被 管 对 象 处 的 管理 信 
息 ; 从 代理 发 给 管理 站 的 两 种 信息 有 用 于 回应 管理 站 对 被 管 对 象 的 信息 的 查询 
(GetResponse) 或 主动 向 管理 站 报告 代理 系统 中 发 生 的 事件 (Trap)。 

(16) 利用 GetRequest 操作 ,可 以 方便 地 检索 简单 对 象 ,对 未 知 对 象 或 表 对 象 则 更 多 地 
是 利用 MIB- 开 中 被 管 对 象 的 字典 顺序 ,采用 GetNextRequest 方法 来 检索 。 


(0.6 习题 


1. 说 明 为 什么 对 采用 UDP 的 应 用 协议 要 限制 其 报 文 长 度 在 一 个 较 小 的 值 , 查 阅 资料 
了 解 常见 应 用 协议 (如 RIP.DNS、DHCP、SNMP) 的 报 文 长 度 限制 。 

2. UDP 的 校 验 和 是 怎么 计算 的 ? 说 明 为 什么 UDP 在 计算 校 验 和 的 时 候 要 加 入 一 个 
伪 首部 。 

3. 客户 机 如 何 知 道 DNS 服务 器 的 IP 地 址 ? 客户 机 向 DNS 服务 器 发 送 什么 类 型 的 
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查询 ? 

4. 查 资 料 学 习 BOOTP 的 工作 过 程 和 报 文 格式 ,并 与 DHCP 进行 比较 。 

5. RFC 3118 对 DHCP 消息 引入 身份 验证 ,人 允许 客户 端 和 服务 器 拒绝 无 效 的 信息 来 
源 。 请 从 协议 工作 的 角度 分 析 未 经 授权 的 DHCP 服务 器 或 客户 会 引起 怎样 的 网 络 安全 问 
题 ,怎样 确保 只 有 经 过 身份 验证 的 客户 端 和 服务 器 才能 够 授权 访问 网 络 。 

6. 查阅 资料 ,进一步 学 习 ASN. 1 ,尝试 用 ASN. 1 表示 一 个 协议 数据 单元 (如 IEEE 
802. 3 的 帧 ) 。 

7. 什么 是 标量 对 象 ? 什么 是 表 对 象 ? 标量 对 象 和 表 对 象 的 实例 如 何 标识 ? 为 什么 不 
能 访问 表 对 象 和 行 对 象 ? 

8. 如 何 利用 GetNext 操作 , 列 出 一 张 路 由 表 的 完整 信息 ? 


实验 


实验 7-1 DNS 协议 分 析 
1. 实验 说 明 


(1) 在 真实 网 络 环境 中 捕获 DNS 数据 报 文 ,分 析 报 文 的 内 容 , 掌 握 DNS 报 文 的 构成 和 
DNS 名 称 解 析 的 工作 过 程 。 

(2) 了 解 Nslookup 程序 的 用 法 。 

Nslookup 是 各 种 操作 系统 中 都 提供 的 对 通用 名 称 服务 器 的 查找 命令 ,可 用 以 判定 网 络 
中 的 DNS 服务 器 能 否 正 确 的 实现 域名 解析 。 程 序 可 以 支持 对 所 有 种 类 DNS 信息 的 访问 ， 
这 些 信 息 或 者 来 自 当前 的 默认 服务 器 ,或 者 通过 将 名 称 或 者 IP 地 址 作为 参数 提供 给 其 他 名 
称 服务 器 查询 后 得 到 。Nslookup 还 是 一 个 基本 的 DNS 服务 器 测试 和 诊断 工具 。 

不 同 操作 系统 中 ,Nslookup 的 实现 和 命令 用 法 略 有 差异 ,下 面 只 给 出 Windows 系统 中 
Nslookup 的 基本 用 法 ,在 其 他 系统 中 使 用 时 可 以 查阅 联机 帮助 或 其 他 资料 。 

Nslookup 有 两 种 使 用 模式 ,分别 简要 说 明 如 下 。 

1) 非 交 互 模式 

即 在 cmd 命令 中 直接 输入 命令 ,返回 对 应 的 数据 。 命 令 基本 格式 如 下 。 


nslookup [ - option] [hostname] [server] 


其 中 的 参数 -option 也 叫 子 命 令 , 用 于 将 一 个 或 多 个 Nslookup 子 命令 指定 为 命令 行 选项 
hostname 为 要 查找 的 主机 名 字 ,如 果 未 指定 其 他 服务 器 ,就 使 用 当前 默认 DNS 名 称 服务 器 
来 查找 hostname 的 信息 。Server 用 于 指定 将 该 服务 器 作为 DNS 名 称 服务 器 使 用 。 如 果 省 
略 , 则 将 使 用 默认 的 DNS 名 称 服务 器 。 

Nslookup 子 命令 即 选项 ,每 个 选项 均 由 连 字符 (-) 后 紧 跟 命令 名 组 成 ,有 时 是 等 号 (一 ) 
后 跟 一 个 数值 。 

2) 交互 模式 

仅仅 在 命令 行 输入 nslookup ,随即 进入 交互 命 退出 输入 exit。 如 
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> nslookup 
Default Server: sc- idns - cache.net 


address: 218.6.200. 
> 


此 时 可 以 在 提示 符 后 输入 “help” 或 “?”, 查 看 各 个 子 命令 的 详细 用 法 。 例 如 ,要 在 域名 空间 
中 查找 不 同 的 数据 类 型 (资源 记录 ) 常 用 的 设置 如 下 。 


> set type 
> set q[uerytype] 


2. 实验 环境 


Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 Internet) ,安装 有 Wireshark 
1,10; 


3. 实验 步骤 


(1) DNS 报 文 捕获 分 析 。 
步骤 1 确认 本 机 可 以 连接 到 Internet, 即 DNS 服务 是 有 效 的 。 运 行 如 下 命令 。 


C:\> ipconfig /all 


记录 网 络 接口 信息 中 的 DNS 服务 器 地 址 。 

步骤 2 启动 Wireshark 在 本 地 接口 抓 包 , 显 示 过 滤器 设置 为 dns, 即 只 查看 DNS 报 
文 。 然 后 在 Windows 下 打开 浏览 器 窗口 ,在 地 址 栏 任意 输入 一 个 外 网 的 网 站 域名 后 , 按 
Enter 键 或 启动 连接 。 观 察 捕获 到 的 DNS 报 文 , 通 常会 捕获 到 标准 的 查询 和 响应 报 文 。 

查看 分 析 DNS 报 文 的 详细 内 容 。 注 意 UDP 报 文 的 端口 信息 和 首部 内 容 。 

步骤 3 输入 不 能 连接 的 网 址 域名 ,查看 分 析 捕 获 到 的 DNS 报 文 。 

(2) Nslookup 程序 的 使 用 和 DNS 报 文 分 析 。 

步骤 1 重新 启动 Wireshark 在 本 地 接口 抓 包 ,显示 过 滤器 设置 为 dns, 即 只 查看 DNS 
报 文 。 在 Windows 系统 的 cmd 窗口 分 别 运 行 如 下 命令 。 

C:\>nslookup — q=a www.nju.edu.cn 

C:\>nslookup - q= mx www.nju.edu.cn 

观察 命令 输出 和 捕获 到 的 数据 包 ,注意 ,此 时 使 用 的 是 系统 设置 的 默认 DNS 服务 器 。 

步骤 2 指定 DNS 服务 器 进行 名 称 解析 ,输入 如 下 命令 。 


C:\>nslookup — q=a www.nju.edu. cn dns.nju.edu. cn 


观察 命令 输出 和 捕获 到 的 数据 包 。 

步骤 3 分 析 反 向 解析 的 报 文 内 容 。 在 Nslookup 程序 中 分 别 用 默认 DNS 服务 器 和 指 
定 的 DNS 服务 器 进行 反 向 解析 。 这 里 假设 在 步骤 1 操作 中 得 到 的 www. nju. edu. cn 的 IP 
地 址 为 202. 119. 32.7, 则 分 别 输入 如 下 命令 。 


C:\>nslookup -q= ptr 202.119.32.7 
C:\> nslookup —- q= ptr 202.119.32.7 dns.nju.edu. cn 


164 


SAA 


TCP/1P 协 议 分 析 教 程 与 实验 


观察 命令 输出 和 捕获 到 的 数据 包 。 

步骤 4 采用 交互 方式 运行 Nslookup ,重复 进行 上 述 步骤 ,熟悉 交互 方式 下 程序 的 使 
用 。 可 以 按 下 列 命令 顺序 来 操作 。 

>setq=a 

> www. nju. edu. cn 

>setq=mx 

> www. nju. edu. cn 

> www. nju. edu. cn dns. nju. edu. cn 

>set q= ptr 

>202.119.32.7 

> 202.119.32.7 dns.nju.edu.cn 


理解 命令 作用 ,观察 命令 输出 和 捕获 的 数据 包 。 
4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 获 取 的 DNS 报 文 ,掌握 各 种 类 型 的 DNS 报 
文 的 内 容 特 点 ,掌握 DNS 名 称 解 析 工 作 过 程 。 


5. 思考 


采用 UDP 和 TCP 来 实现 DNS, 对 名 字 解 析 有 什么 不 同 ? 


实验 7-2 DHCP 协议 分 析 

1. 实验 说 明 

在 真实 网 络 环境 中 捕获 DHCP 数据 报 文 ,分 析 报 文 的 内 容 , 掌 握 DHCP 报 文 的 构成 和 
DHCP 的 工作 过 程 。 

2. 实验 环境 

Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 局 域 网 或 Internet) ,安装 有 
Wireshark 1. 10。 

3. 实验 步骤 


步骤 1 在 Windows 网 络 和 共享 中 心里 查看 网 络 配置 , 先 确 认 实 验 主机 的 网 络 接口 配 
置 是 DHCP 方式 , 即 * 开 始 ”|“ 控 制 面板 ”I“ 网 络 和 Internet”| 网 络 和 共享 中 心 "|* 本 地 连 
接 ”|“* 属 性 ”|“Internet 协议 版 本 4” 的 属性 为 “自动 获得 IP 地 址 ”, 然 后 运行 ipconfig 命令 ， 
查看 本 机 IP 地 址 信息 。 

步骤 2 启动 Wireshark 在 本 地 接口 抓 包 ,显示 过 滤器 设置 为 bootp, 即 只 捕获 DHCP 
报 文 。 然 后 运行 如 下 命令 。 


C:\> ipconfig /release 


观察 命令 输出 和 捕获 的 数据 包 。 
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步骤 3 继续 Wireshark 抓 包 ,运行 如 下 命令 。 
C:\> ipconfig /renew 


观察 命令 输出 和 捕获 的 数据 包 , 注 意 观 察 抓 到 的 4 个 类 型 的 DHCP 报 文 的 链 路 层 地 址 
和 IP 地 址 中 广播 和 单 播 的 差异 ,使 用 的 UDP 端口 号 以 及 各 个 报 文 的 事务 ID, 各 个 字段 特 
别 是 选项 的 内 容 。 

步骤 4 再 次 运行 如 下 命令 。 


C:\> ipconfig /renew 


观察 命令 输出 和 捕获 的 数据 包 。 注 意 观 察 本 次 的 DHCP 请 求 和 确认 报 文 的 内 容 和 上 
一 次 的 不 同 之 处 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 获 取 的 DHCP 报 文 ,掌握 各 种 类 型 的 
DHCP 报 文 的 内 容 特点 ,理解 DHCP 协议 的 基本 工作 过 程 。 


5, 思考 


(1) DHCP 的 操作 码 只 有 两 种 取 值 , 如 何 区 分 DHCP 报 文 的 多 种 类 型 (观察 到 的 至 少 5 
种 以 上 ) 的 不 同 作用 ? 
(2) DHCP 采用 UDP 来 实现 有 什么 好 处 ? 


实验 7-3 SNMP 协议 分 析 
1. 实验 说 明 


利用 Packet Tracer 和 Wireshark 分 别 在 模拟 和 真实 环境 中 查看 并 分 析 SNMP 协议 报 
文 格式 和 内 容 , 熟 悉 MIB Browser 和 snmputil 工具 的 用 法 ,掌握 SNMP 各 种 操作 和 PDU 
的 构成 ,进一步 巩固 对 网 络 管理 原理 和 方法 的 理解 和 掌握 。 


2. 实验 环境 


Windows 操作 系统 及 联网 环境 (主机 有 以 太 网卡 并 连接 局 域 网 ) ,安装 有 Packet Tracer 
6.0 和 Wireshark 1. 10; MG-SOFT MIB Browser Professional Edition 和 snmputil 工具 
软件 。 


3. 实验 步骤 


(1) 利用 MIB Browser 和 Wireshark 捕获 并 分 析 SNMP 报 文 。 

步骤 1 配置 Windows SNMP 服务 管理 站 和 代理 。 

在 Windows 下 安装 并 配置 SNMP 服务 的 过 程 如 下 。 

打开 “控制 面板 ”1“ 添 加 /删除 程序 ”, 选 择 “ 添 加 /删除 Windows 组 件 ”, 接 着 在 弹出 的 
“Windows 组 件 ” 中 选择 “管理 和 监视 工具 ”, 单 击 下 面 的 “详细 信息 ”, 在 弹出 的 一 个 “管理 和 
监视 工具 ”的 对 话 框 中 选择 “简单 网 络 管理 协议 SNMP” ,确定 后 单 击 “ 下 一 步 ”按钮 ,就 可 以 
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安装 SNMP 服务 器 了 。 

安装 成 功 后 ,打开 “控制 面板 ”1“ 管 理工 具 ”|“ 服 务 ”, 能 看 见 SNMP 服务 已 经 启动 ,双击 
“SNMP service”, 就 可 以 对 其 属性 进行 配置 。 通 常情 况 下 使 用 系统 默认 的 配置 即 可 ,默认 
情况 下 团体 名 为 public。 

在 实验 的 连 网 计算 机 上 分 别 进行 上 述 设置 。 

步骤 2 安装 MG-SOFT MIB Browser Professional Edition ,这 样 就 可 以 方便 地 进行 
SNMP 操作 和 观察 操作 结果 。 可 以 同时 在 管理 站 和 代理 计算 机 上 都 安装 MIB Browser 并 
启动 软件 。 

步骤 3 启动 Wireshark。 在 管理 站 或 代理 计算 机 的 Windows 中 启动 Wireshark , 选 定 
本 地 网 络 接口 并 启动 抓 包 , 设 置 显示 过 滤器 为 snmp。 

步骤 4 在 MIB Browser 中 进行 SNMP 操作 ,产生 SNMP 报 文 的 网 络 通信 信息 。 首 先 
在 MIB Browser 主 窗口 中 Remote SNMP agent 下 拉 框 处 输入 或 选择 代理 的 IP 地 址 (实例 
为 192. 168. 0. 101) ,然后 单 击 菜单 SNMP|Contact( 也 可 按 Ctrl+a 组 合 键 ) ,与 代理 建立 联 
系 , 操 作 界面 如 图 7-26 所 示 。 


轴 MG-SOFT MIB Browser Professional SNMPv3 Edition 
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Remote SNMP agent 192.168.0.101 contacted. 





图 7-26 MG-SOFT MIB Browser 工作 界面 


此 时 ,在 Wireshark 中 已 经 捕获 到 一 次 SNMP 通信 ,分 析 通 信 过 程 的 SNMP 查询 和 应 
答 报 文 的 内 容 ,理解 MIB Browser 的 工作 特点 。 
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再 在 MIB Browser 选择 菜单 Tools| Scan Agent For MIBs ,获得 代理 支持 的 MIB 对 象 
清单 ,这 时 就 可 以 对 MIB- 开 中 的 各 个 注册 对 象 进行 SNMP 操作 了 。 

步骤 5 右 击 图 7-26 中 左 侧 MIB tree 窗 格 中 的 被 管 对 象 sysName, 在 弹出 的 快捷 菜单 
中 可 以 看 到 ,有 Get、Get Next、Set 和 Walk 等 操作 , 单 击 ,选择 Get 操作 ,会 在 MIB Browser 
工作 窗口 的 Qurey Results 中 看 到 查询 的 结果 。 这 时 Wireshark 会 捕获 到 一 次 Get 和 
GetResponse 对 话 的 SNMP 报 文 。 

步骤 6 右 击 图 7-26 中 左 侧 MIB tree 窗 格 中 
的 被 管 对 象 sysName', 在 弹出 的 快捷 菜单 中 单 击 , 选 
择 GetNext 操作 ,观察 输出 结果 ,分 析 Wireshark 捕 Riemote SNMP a0ent 
获 到 的 GetNext 和 GetResponse SNMP 报 文 。 J = 





























步骤 7 类 似 地 对 被 管 对 象 sysName 选择 Set a - 回 
操作 ,会 弹出 Set 对 话 框 ,如 图 7-27 所 示 , 在 其 中 并 





四 "图 图 
Value to Set 栏 填 人 要 修改 的 sysName 为 任意 字符 有 symex 


(如 JN), 单 击 | 加 按钮 ,在 弹出 的 对 话 框 中 设置 团 ‖ Be ee @ poe 
体 名 称 为 public, 然 后 单 击 田 按钮 ,发 出 Set 操作 ，|‖ Bs oo pe | 
观察 程序 执行 情况 。 OO@ 四 SNMPvl Requesttimed out 

在 Wireshark 中 会 捕获 到 连续 的 Set 报 文 ,但 代 
理 并 没有 应 答 , 这 时 MIB Browser 会 提示 Request 
timed out。 观 察 并 分 析 捕获 到 的 SNMP Set 报 文 。 

步骤 8 对 ip 组 的 被 管 对 象 pNetToMeadiaTable 选择 Walk 操作 ,会 把 整个 表 中 的 标 
量 对 象 逐一 地 访问 到 并 返回 Qurey Results 窗口 中 ,在 Wireshark 中 会 捕获 到 连续 的 
GetNext 报 文 和 GetResponse 响应 。 

观察 分 析 报 文 特点 并 理解 SNMP 访问 MIB 中 表 的 方法 。 

(2) 利用 snmputil 和 Wireshark 捕获 并 分 析 SNMP 报 文 。 

步骤 1 在 实验 机 (管理 站 或 代理 均 可 ) 上 启动 Wireshark , 选 定 本 地 网 络 接口 并 启动 抓 
包 , 设 置 显示 过 滤器 为 snmp。 

步骤 2 在 配置 好 SNMP 协议 的 Windows 系统 中 启动 命令 行 方式 ,然后 就 可 以 运行 
snmputil。snmputil. exe 是 一 个 命令 行 下 的 软件 ,语法 格式 如 下 。 











7-27 MIB Browser 中 的 Set 操作 


snmputil [get|getnext|walk] agent community oid [oid ...] 
或 
snmputil trap 


依次 按 下 列 内 容 运 行 命令 ,观察 并 分 析 命 令 得 到 的 结果 和 Wireshark 中 捕获 到 的 相应 
的 数据 包 。 


Snmputil get localhost public .1.3.6.1.2.1.2.1.0 
命令 中 OID 即 interfaces. ifNumber. 0。 


Snmputil getnext localhost public .1.3.6.1.2.1.2.1.0 
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使 用 getnext 命令 参数 就 可 以 获取 一 个 设备 中 的 所 有 变量 值 及 OID, 而 不 需要 事先 知 
道 它们 的 准确 OID 值 。 

步骤 3 使 用 snmputil 的 walk 指令 ,显示 出 本 地 机 器 几乎 所 有 的 变量 ,直到 最 后 出 现 
“End of MIB subtree”: 





C:> snmputil walk localhost public .1.3 

观察 并 分 析 命令 得 到 的 结果 和 Wireshark 中 捕获 到 的 相应 数据 包 。 

步骤 4 了 解 其 他 命令 用 法 的 含义 。 

snmputil walk 对 方 ip public .1.3.6.1.2.1.25.4.2.1.2 

列 出 系统 进程 ,这 样 就 可 以 知道 系统 运行 的 软件 ,例如 ,有 没有 装 杀毒 软件 。 

snmputil walk 对 方 ip public .1.3.6.1.4.1.77.1.2.25.1.1 

列 出 系统 用 户 列表 ,可 以 获知 系统 的 用 户 列 表 。 

snmputil get 对 方 ip public .1.3.6.1.4.1.77.1.4.1.0 

列 出 域名 ,可 以 列 出 系统 的 域名 。 若 人 侵 者 得 到 了 主机 名 ,可 以 根据 此 设置 探测 的 密码 
字典 。 

snmputil walk 对 方 ip public .1.3.6.1.2.1.25.6.3.1.2 

列 出 安装 的 软件 ,可 以 查看 系统 安装 的 软件 版 本 是 什么 、 是 否 安装 防火 墙 等 信息 ,可 以 
据 此 判断 可 能 有 的 系统 漏洞 。 

(3) 在 Cisco Packet Tracer 中 观察 SNMP 报 文 。 

步骤 1 启动 Packet Tracer, 按 图 7-28 所 示 建 立 一 个 简单 的 网 络 , 也 可 以 打开 以 前 建 
立 的 网 络 拓扑 来 进行 实验 。 


2950-24 旦 


1841 
PC-PT 
Router0 Switch0 PCO 





图 7-28 SNMP 实验 拓扑 


步骤 2 首先 配置 路 由 器 SNMP, 启 用 SNMP 协议 ,设置 团体 名 称 为 “suchen”。 


Router > en 

Router#conf 七 

Router(config) # hostname RO 

RO(config) # int £0/0 

RO(config— if)#ipaddr 192.168.0.1 255.255.255.0 
RO(config— if)#no shut 

RO(config) # snmp — server community suchen RW 
RO(config)#°2Z 


步骤 3 接着 配置 交换 机 ,打开 管理 vlan(interface vlan1) ,然后 为 交换 机 配置 管理 地 址 
(ip address 192. 168. 0.2 255. 255. 255. 0) ,同样 地 配置 SNMP。 
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Switch> en 

Switch# conf 七 

Switch(config) # int vlanl 

Switch(config- if)# ip addr 192.168.0.2 255.255.255.0 
Switch(config) # snmp — server community suchen RW 
Switch(config) 井 ^Z 


步骤 4 PCo0 充当 管理 站 ,可 以 不 配置 SNMP。 只 配置 IP 地 址 (192. 168. 0. 10/24) 和 
默认 网 关 (192. 168. 0. 1) 。 配 置 好 后 需 确认 网 络 连通 正确 。 

步骤 5 打开 PC0 的 Desktop 选项 卡 ,双击 选择 其 中 的 MIB Browser。 在 弹出 的 窗口 
中 可 以 看 到 Address 栏 , 在 其 中 输入 路 由 器 的 地 址 192. 168. 0. 1 ,操作 界面 如 图 7-29 所 示 。 
单 击 Advanced 按钮 ,弹出 对 话 框 。 确 认 其 中 的 IP 地 址 为 代理 的 地 址 (192. 168. 0. 1) ,端口 
为 161, 设 置 其 中 的 Read Community 和 Write Community, 这 里 都 输入 团体 名 suchen, 然 后 
单 击 OK 按钮 ,保存 。 

步骤 6 利用 Get 操作 查看 路 由 器 信息 。 首 先 在 图 7-29 窗口 左边 的 SNMP MIBs 中 双 
击 对 应 的 MIB 对 象 名 称 , 逐 级 展开 MIB 注册 对 象 树 。 这 时 MIB Browser 的 其 他 栏目 会 有 
对 应 的 显示 ,如 OID 等 会 相应 变化 。 

这 时 ,如 果 要 查看 被 管 对 象 的 值 ,可 以 在 Operations 下 拉 框 处 选择 对 应 的 操作 ,如 Get， 
然后 单 击 Go 按钮 ,执行 操作 。 图 7-29 显示 了 使 用 Get 操作 获得 sysName(. 1. 3. 6. 1. 2. 1. 
1. 5.0) 的 情况 ,可 以 看 到 ,在 Result Table 里 返回 的 路 由 器 系统 名 字 为 R0。 这 正 是 步骤 2 
设置 的 路 由 器 名 称 。 
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图 7-29 Packet Tracer 中 MIB Browser 界面 
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进一步 通过 连续 地 执行 Get 操作 来 查看 路 由 器 R0 的 路 由 表 。 

切换 到 Cisco Packet Tracer 的 模拟 方式 ,查看 通信 过 程 中 的 各 个 PDU 的 构成 和 收发 
过 程 。 

步骤 7 通过 Set 操作 来 修改 路 由 器 的 名 字 。 

在 Operations 下 拉 框 处 选择 Set 操作 ,这 时 会 弹出 Set 对 话 框 ,确认 OID 后 选择 数据 类 
型 ,sysName 的 语法 规定 为 字符 串 , 所 以 这 里 选择 OctetString, 然 后 输入 要 修改 的 新 名 称 ， 
这 里 输入 "ROUTER0”, 单 击 OK 按钮 , 回 到 主 操作 界面 。 单 击 Go 按钮 ,执行 Set 操作 修改 
sysName(.1.3.6.1.2.1.1.5.0)。 路 由 器 响应 这 个 Set 操作 , 则 看 到 在 Result Table 里 返 
回 的 路 由 器 系统 名 字 为 ROUTER0O 。 

借助 Cisco Packet Tracer 的 模拟 方式 ,查看 通信 过 程 中 的 SetPDU 和 路 由 器 返回 的 
GetResponse PDU 的 构成 和 收发 过 程 。 

Packet Tracer 中 的 命令 相 较 于 实际 的 Cisco 设备 要 少 ,因此 要 完成 更 进一步 的 实验 ,如 
Trap 操作 ,需要 借助 高 仿真 的 GNS3 等 工具 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 中 获取 的 SNMP 报 文 ,掌握 各 种 类 型 的 
SNMP 报 文 的 内 容 特 点 ,理解 SNMP 协议 的 基本 工作 过 程 ,熟悉 SNMP 报 文采 用 的 BER 
编码 。 


5. 思考 与 练习 


(1) 在 MIB Browser 实验 中 ,为 什么 不 能 够 实现 Set 操作 ? 

(2) Linux 系统 中 的 SNMP 协议 如 何 配置 ,常用 的 工具 软件 有 哪些 ? 

(3) 下 载 netrsnmp 工具 ,通过 其 提供 的 snmptrap 命令 实现 手工 产生 traps 事件 ,捕获 
Trap 报 文 并 分 析 报 文 的 构成 和 作用 方式 。 

命令 格式 如 下 。 


Snmptrap - V version -cc commuity ~ name hostname enterprise 一 oid agent generic - trap specific 
一 trap uptime [OID type value] 


(4) 学 习 SNMP v2 和 SNMP v3 的 相关 内 容 , 理 解 其 与 SNMP vl 的 差异 和 改进 ,在 
MIB Browser 上 完成 相关 报 文 的 观察 和 分 析 。 
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传输 控制 协议 (Transmission Control Protocol, TCP) 提 供 一 种 面向 连接 的 、 可 靠 的 字 
节 流 服务 。 面 向 连接 意味 着 两 个 使 用 TCP 的 应 用 (通常 是 一 个 客户 和 一 个 服务 器 ) 在 彼此 
交换 数据 之 前 必须 先 建立 一 个 TCP 连接 ,同时 TCP 通过 差错 与 流量 控制 确保 在 不 可 靠 的 
网 络 中 完成 数据 的 正确 传输 。 对 于 传输 大 量 数据 以 及 要 求 可 靠 交 付 的 应 用 程序 来 说 ,TCP 
是 首选 的 传输 方法 。 

本 章 首先 回顾 TCP 协议 的 基本 特性 和 报 文 格式 ,然后 介绍 基于 TCP 的 常用 应 用 协议 
Telnet HTTP 和 FTP。 


@.1 传输 控制 协议 


TCP 将 需要 传输 的 数据 分 组 ,这 种 分 组 称 为 TCP 报 文 段 或 段 (segment)。 和 UDP 中 
应 用 程序 产生 的 数据 报 长 度 将 保持 不 变 完全 不 同 ,TCP 段 不 定 长 ,被 封装 在 IP 数据 报 中 传 
输 。IP 数据 报 不 能 保证 数据 的 按 序 到 达 , 还 可 能 造成 数据 的 丢失 或 毁坏 ,这 些 问 题 经 过 
TCP 协议 的 处 理 后 ,对 上 层 提供 的 是 可 靠 的 无 差错 的 服务 。 具 体 地 来 说 ,TCP 通过 下 列 方 
式 来 提供 可 靠 性 。 

(1) 在 TCP 传输 开始 时 ,TCP 主机 使 用 握手 过 程 建立 相互 间 的 逻辑 连接 ,同时 TCP 使 

序列 号 来 跟踪 标识 传输 的 数据 量 及 任何 乱 序 的 数据 包 。 

(2) 当 TCP 发 出 一 个 段 后 , 它 启 动 一 个 定时 器 ,等 待 目 的 端 确认 收 到 这 个 报 文 段 。 如 
果 不 能 及 时 地 收 到 一 个 确认 ,将 重 发 这 个 报 文 段 。 

(3) 当 TCP 收 到 发 自 TCP 连接 男 一 端的 数据 , 它 将 发 送 一 个 确认 。 通 过 确认 和 序列 
号 跟踪 ,确保 数据 成 功 地 抵达 目标 。 

(4) TCP 将 保持 它 首部 和 数据 的 检验 和 。 这 是 一 个 端 到 端的 检验 和 ,目的 是 检测 数据 
在 传输 过 程 中 的 任何 变化 。 如 果 收 到 有 段 的 检验 和 有 差错 ,TCP 将 丢弃 这 个 报 文 段 和 不 确 
认 收 到 此 报 文 段 (希望 发 送 端 超时 并 重 发 ) 。 

(5) IP 数据 报 的 到 达 可 能 会 失 序 或 发 生 重复 ,因此 TCP 报 文 段 的 到 达 也 可 能 会 失 序 或 
重复 ,TCP 通过 对 收 到 的 数据 进行 重新 排序 ,丢弃 重复 的 数据 ,将 收 到 的 数据 以 正确 的 顺序 
交 给 应 用 层 。 

(6) TCP 提供 流量 控制 。TCP 连接 的 每 一 方 都 有 固定 大 小 的 缓冲 空间 。TCP 的 接收 
端 只 允许 另 一 端 发 送 接收 端 缓冲 区 所 能 接纳 的 数据 ,这 将 防止 较 快 主机 致使 较 慢 主 机 的 缓 

















172 


SN 


TCP/IP 协 议 分 析 教 程 与 实验 


冲 区 溢出 。 

TCP 将 数据 按 字 节 编号 ,然后 以 连续 字 节 流 方式 传输 数据 ,不 在 字 节 流 中 插入 记录 标 
识 符 , 这 称 为 字 节 流 服务 (byte stream service) 。 如 果 一 方 的 应 用 程序 先 传 20 字 节 ,又 传 30 
字 节 ,再 传 50 字 节 ,连接 的 另 一 方 将 无 法 了 解 发 送 方 每 次 发 送 了 多 少 字 节 。 接 收 方 可 以 分 
5 次 接收 这 100 个 字 节 ,每 次 接收 20 字 节 。TCP 通信 中 ,一 端 将 字 节 流放 到 TCP 连接 上 ， 
同样 的 字 节 流 最 终 将 出 现在 TCP 连接 的 另 一 端 ,而 不 管 中 间 经 历 什么 样 的 通信 过 程 。 

另外 ,TCP 对 字 节 流 的 内 容 不 作 任何 解释 , 即 TCP 不 关心 字 节 流 中 的 消息 内 容 和 消息 
边界 ,一 旦 接收 到 数据 后 ,由 上 层 应 用 程序 解释 字 节 流 , 读 取 包 含 其 中 的 消息 。TCP 不 知道 
传输 的 数据 字 节 流 是 二 进 制 数据 ,还 是 ASCII 字符 或 者 其 他 类 型 的 数据 。 这 种 对 字 节 流 的 
处 理 方式 与 UNIX 操作 系统 对 文件 的 处 理 方式 很 相似 。 


8.1.1 TCP 段 格式 


TCP 段 数据 被 封装 在 一 个 IP 数据 报 中 ,由 TCP 有 段 首部 和 TCP 数据 部 分 组 成 。TCP 
段 首部 由 20 字 节 的 定 长 部 分 和 0 一 40 字 节 的 变 长 部 分 构成 。TCP 段 格式 中 各 个 字段 的 含 
义 和 作用 如 图 8-1 所 示 , 各 个 字段 的 长 度 在 图 中 已 标明 。 
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数据 (必须 填充 成 16 位 的 整数 倍 ) 





8-1 TCP 段 首部 格式 


TCP 段 首部 的 各 个 字段 含义 如 下 。 

(1) 每 个 TCP 段 都 包含 源 端口 号 和 目的 端口 号 ,用 于 寻找 发 送 端 和 接收 端 应 用 进程 。 
这 两 个 值 加 上 IP 首部 中 的 源 端 IP 地 址 和 目的 端 IP 地 址 ,可 唯一 确定 一 个 TCP 连接 。 

一 个 IP 地 址 和 一 个 端口 号 也 称 为 一 个 Socket ,在 第 1 章 网 络 编程 接口 里 已 有 说 明 。 客 
户 端 IP 地 址 和 端口 号 .服务 器 IP 地 址 和 端口 号 这 样 的 四 元 组 可 唯一 确定 互联 网 络 中 每 个 
TCP 连接 的 双方 。 

(2) 序号 用 来 标识 从 TCP 发 送 端 向 TCP 接收 端 发 送 的 数据 字 节 流 , 它 表示 在 这 个 报 
文 段 中 的 第 一 个 数据 字 节 。TCP 用 序号 对 每 个 字 节 进行 计数 。 序 号 是 32 位 的 无 符号 数 ， 
序号 到 达 22 一 1 后 又 从 0 开始 。 

当 建 立 一 个 新 的 连接 时 , SYN 标志 变 1。 序 号 字段 包含 由 这 个 主机 选择 的 该 连接 的 初 
始 序号 ISN(Initial Sequence Number) 。 该 主机 要 发 送 数据 的 第 一 个 字 节 序号 为 这 个 ISN 
加 1, 因为 SYN 标志 消耗 了 一 个 序号 (类 似 地 ,FIN 标志 也 要 占用 一 个 序号 ) 。 
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(3) 确认 序号 包含 发 送 确认 的 一 端 所 期 望 收 到 的 下 一 个 序号 。 确 认 序号 是 上 次 已 成 功 
收 到 数据 字 节 序号 加 1。 只 有 ACK 标志 为 1 时 ,确认 序号 字段 才 有 效 。 

需要 注意 的 是 ,发 送 ACK 无 需 任何 代价 ,因为 32 位 的 确认 序号 字段 和 ACK 标志 一 
样 ,总 是 TCP 首部 的 一 部 分 。 因 此 ,一 旦 一 个 TCP 连接 建立 起 来 ,序号 字段 总 是 被 设置 ， 
ACK 标志 也 总 是 被 设置 为 1。TCP 连接 的 每 一 端 都 必须 保持 每 个 方向 上 的 传输 数据 序号 。 

(4) 首部 长 度 (HELN) 给 出 首部 中 32 位 字 的 数目 。 和 IP 首部 中 首部 长 度 字段 完 
样 ,这 个 字段 占 4 位 , 取 值 范围 在 5~15。 因 此 ,TCP 最 多 有 60 字 节 的 首部 ,没有 任 选 字 段 
的 普通 的 长 度 是 20 字 节 。 

(5) 在 TCP 首部 中 有 6 个 标志 位 ,它们 中 的 多 个 可 同时 被 设置 为 1, 各 个 标志 置 1 的 含 
义 如 下 。 

。 URG: 紧急 指针 (urgent pointer) 有 效 。 

。 ACK: 确认 序号 有 效 。 

。 PSH: 接收 方 应 该 尽快 地 将 这 个 报 文 段 交 给 应 用 层 

。 RST: 重建 连接 。 

。 SYN: 同步 序号 用 来 发 起 一 个 连接 。 

。 FIN: 发 送 端 完成 发 送 任务 。 

(6) 窗口 大 小 是 一 个 16 位 字段 ,用 来 标明 TCP 连接 的 一 方 还 可 以 接收 的 字 节 数 , 起 始 
于 确认 序号 字段 指明 的 值 ,用 以 为 TCP 提供 流量 控制 。 因 而 窗口 大 小 最 大 为 65 535 字 节 。 
窗口 刻度 选项 允许 这 个 值 按 比例 变化 ,以 提供 更 大 的 窗口 。 

(7) TCP 检验 和 覆盖 了 整个 的 TCP 报 文 段 , 即 包括 TCP 段 首部 和 TCP 数据 ,但 计算 
时 要 加 上 如 图 8-2 所 示 的 一 个 伪 首 部 。 校 验 和 是 一 个 强制 性 的 字段 ,由 发 送 端 计算 和 存储 ， 
并 由 接收 端 进行 验证 。 
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图 8-2 TCP 伪 首 部 格式 


和 UDP 一 样 ,TCP 伪 首 部 的 信息 来 自 IP 数据 报 的 首部 ,协议 字段 指明 当前 协议 为 
TCP(6)。TCP 段 的 发 送 端 和 接收 端 在 计算 校 验 和 时 都 会 加 上 伪 首 部 信息 。 若 接收 端 验 证 
校 验 和 是 正确 的 , 则 说 明 数 据 到 达 了 正确 主机 上 正确 协议 的 正确 端口 。 

(8) 紧急 指针 只 有 在 URG 标志 置 1 时 才 有 效 。 紧 急 指针 是 一 个 正 的 偏 移 量 ,和 序号 字 
段 中 的 值 相 加 表示 紧急 数据 最 后 一 个 字 节 的 序号 。TCP 的 紧急 方式 是 发 送 端 向 另 一 端 发 
送 紧 急 数据 的 一 种 方式 。 

(9) 选项 为 变 长 部 分 ,选项 格式 如 图 8-3 所 示 。 

选项 结束 标志 为 单字 节选 项 ,代码 为 0, 用 于 表示 选项 结束 。 

无 操作 选项 为 单字 节选 项 ,代码 为 1, 用 于 选项 的 填充 ,实现 32 位 对 齐 。 

最 大 段 大 小 (MSS) 选 项 为 多 字 节 选项 ,代码 为 2, 长度 为 4 字 节 ,最 后 两 个 字 节 用 于 标 
识 本 机 能 够 接收 的 段 的 最 大 字 节 数 。MSS 值 范 围 为 0 到 65 535。 为 防止 IP 分 片 ,在 TCP 
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代码 长 度 
选项 结束 00000000 
无 操作 00000001 
最 大 段 大 小 ”| 00000010| 00000100 最 大 段 大 小 
窗口 规模 因子 | 00000011 | 00000011 规模 因子 | 
时 间 截 00001000 | 00001010 

时 间 截 值 
时 间 截 回 显 应 答 














8-3 ”TCP 选项 格式 


连接 建立 时 ,连接 双方 会 互相 通告 期 望 接 收 的 MSS 选项 (MSS 选项 只 能 出 现在 SYN 报 文 
段 中 ) 。 如 果 一 方 不 接受 对 方 的 MSS, 则 MSS 设 定 为 默认 值 536 。 

窗口 规模 因子 选项 为 多 字 节选 项 ,代码 为 3, 长 度 为 3 字 节 。 在 TCP 段 的 首部 存在 16 
位 的 窗口 大 小 字段 ,但 在 高 吞吐 和 低 延 迟 的 网 络 中 ,65 535 字 节 的 窗口 仍然 嫌 小 。 通 过 在 选 
项 中 采用 窗口 规模 因子 ,可 以 增加 窗口 的 大 小 。 

时 间 戳 选项 为 多 字 节选 项 ,代码 为 8, 长度 为 10 字 节 。 时 间 戳 值 字段 由 发 送 端 在 发 送 
数据 段 时 填写 ,接收 端 收 到 后 ,在 确认 数据 段 中 将 收 到 的 时 间 截 值 填 人 时 间 截 回 显 应 答 字 
段 ,发 送 端 根据 该 时 间 戳 值 和 当前 时 间 蕉 , 可 以 计算 出 数据 段 的 往返 时 间 。 


8.1.2 TCP 连接 的 建立 和 拆除 


TCP 为 实现 数据 的 可 靠 传输 设计 了 不 少 工作 机 制 ,包括 TCP 连接 的 建立 和 拆除 、 超 时 
与 重 传 机 制 .流量 控制 和 拥塞 控制 等 。 这 些 内 容 在 计算 机 网 络 基础 课程 中 都 已 学 习 , 本 节 仅 
为 方便 学 习 协 议 分 析 , 对 TCP 连接 的 建立 和 拆除 的 工作 过 程 进 行 回顾 。 

TCP 需要 在 应 用 进程 间 建 立 传输 连接 。 从 理论 上 讲 ,建立 传输 连接 只 需要 一 个 请 求 和 
一 个 响应 就 可 以 了 。 但 是 由 于 通信 子 网 的 问题 ,请 求 有 可 能 丢失 。 为 了 解决 请 求 的 丢失 问 
题 ,常用 的 办 法 是 超时 重 传 。 客 户 发 出 连接 请 求 时 ,启动 一 个 定时 器 ,一 旦 定时 器 超时 ,客户 
将 被 迫 再 次 发 起 连接 请 求 ,但 这 又 可 能 导致 重复 连接 。 

TCP 解决 重复 连接 的 办 法 为 采用 三 次 握手 方法 。 

三 次 握手 方法 要 求 对 所 有 报 文 进 行 编号 ,TCP 采用 的 方法 是 给 每 个 字 节 一 个 32 位 的 
序号 ,每 次 建立 连接 时 都 产生 一 个 新 的 初始 序号 。 

建立 连接 前 ,服务 器 端 首先 被 动 打开 其 服务 端口 并 对 端口 进行 监听 。 当 客户 端 要 和 服 
务 器 建立 连接 时 ,发 起 一 个 主动 打开 端口 的 请 求 。 然 后 进入 三 次 握手 过 程 。 

第 一 次 握手 : 由 要 建立 连接 的 客户 向 服务 器 发 出 连接 请 求 段 ,该 段 首 部 的 同步 标志 
SYN 被 置 为 1, 并 在 首部 中 填 人 本 次 连接 的 客户 端的 初始 段 序 号 SEQ( 如 SEQ 二 16400)。 

第 二 次 握手 : 服务 器 收 到 请 求 后 ,发 回 连接 确认 (CSYN 十 ACK) ,该 段 首部 中 的 同步 标 
志 SYN 被 置 为 1, 表示 认可 连接 ; 首部 中 的 确认 标志 ACK 被 置 为 1, 表示 对 所 接收 的 段 的 
确认 ; 与 ACK 标志 相配 合 的 是 准备 接收 的 下 一 序号 (ACK16401) ,该 段 还 给 出 了 自己 的 初 
始 序号 (如 SEQ 二 1300)。 对 请 求 段 的 确认 完成 了 一 个 方向 上 的 连接 。 
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第 三 次 握手 : 客户 向 服务 器 发 出 确认 段 , 段 首部 中 的 确认 标志 ACK 被 置 为 1, 表 示 对 
所 接收 的 段 的 确认 ; 与 ACK 标志 相配 合 的 准备 接收 的 下 一 序号 被 设置 为 收 到 的 段 序号 加 
1(ACK 1301) ,完成 了 另 一 个 方向 上 的 连接 。 

这 时 ,TCP 连接 便 建立 起 来 , 接 下 来 双方 都 可 以 向 对 方 发 送 数 据 。 当 通信 完成 ,连接 双 
方 都 可 以 发 起 拆除 连接 操作 。 

为 防止 简单 地 拆除 连接 可 能 会 造成 的 数据 丢失 ,TCP 采用 与 三 次 握手 类 似 的 方法 , 即 
一 方 发 出 断 开 连接 请 求 后 ,并 不 马上 拆除 连接 ,而 是 等 待 对 方 的 确认 ,对 方 收 到 断 开 连 接 请 
求 后 ,发 送 确认 报 文 ,这 时 拆除 的 只 是 单方 向 上 连接 ( 半 连 接 )。 等 对 方 发 送 完 数据 后 ,再 通 
过 发 送 断 开 连 接 请 求 来 断 开 另 一 个 方向 上 的 半 连 接 。 

本 章 的 内 容 中 基于 TCP 的 应 用 协议 如 Telnet\FTP 和 HTTP 里 都 可 以 观察 到 TCP 连 
接 的 建立 和 拆除 过 程 ,8. 2 节 中 将 给 出 捕获 的 报 文 实例 。 


6.2 Telnet 远程 登录 


远程 登录 是 Internet 上 最 为 广泛 的 应 用 之 一 ,今天 已 经 有 多 种 多 样 的 远程 登录 工具 或 
软件 在 使 用 ,例如 ,Telnet、Rlogin、SSH(Secure Shel) 和 PuTTY 等 。Telnet 作为 网 络 上 最 
旱 的 远程 登录 工具 ,提供 标准 的 远程 访问 操作 ,最 典型 的 基于 Telnet 的 应 用 就 是 BBS 电子 
公告 板 。 所 以 ,通过 学 习 了 解 Telnet 协议 工作 机 制 来 理解 远程 访问 仍然 具有 代表 意义 。 


8.2.1 Telnet 工作 机 制 


一 个 本 地 用 户 像 远 地 用 户 一 样 ,在 远 地 机 建立 一 个 用 户 账号 ,并 通过 TCP/IP 进入 该 远 
地 账号 ,访问 远 地 机 资源 ,这 就 是 远程 登录 。Telnet 远程 登录 的 使 用 主要 有 两 种 情况 : 一 是 
用 户 在 远程 主机 上 有 自己 的 账号 (account), 即 用 户 拥 有 注册 的 用 户 名 和 口令 ; 二 是 许多 
Internet 主机 为 用 户 提供 了 某 种 形式 的 公共 Telnet 信息 资源 ,这 种 资源 对 于 每 一 个 Telnet 
用 户 都 是 开放 的 。 

Telnet 通过 TCP/1IP 进入 远 地 账 号 ,访问 远 地 机 资源 ,服务 器 使 用 熟知 端口 号 23, 客 户 
端 使 用 动态 端口 号 。Telnet 远程 登录 采用 客户 -服务 器 模式 ,图 8-4 显示 的 是 Telnet 典型 连 
接 的 工作 原理 图 。 






























































Telnet Telnet 登录 

客户 进程 服务 器 进程 shell 
Hr I/ A 
1 | 终端 TCPP | | 1 | TCP/P | | 伪 终端 | ! 
1| 驱动 协议 栈 | 1 1 | 协议 栈 驱动 | | 
1 1 1 1 
1 1 1 1 











图 8-4 Telnet 工作 原理 


Telnet 具有 包容 异种 计算 机 和 异种 操作 系统 的 能 力 , 它 工作 在 任何 主机 或 终端 之 间 。 
为 此 Telnet 采用 专门 的 一 种 标准 的 键盘 定义 方式 , 称 为 网 络 虚拟 终端 (Network Virtual 
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Terminal, NVT) ,采用 的 字符 集 称 为 NVT ASCII。Telnet 命令 使 用 的 NVT 部 分 字符 集 如 





表 8-1 所 示 。 
表 8-1 NVT 部 分 控制 字符 

命 令 编 码 含 义 命 令 编 码 含义 
IAC 255 解释 后 面 的 字 节 为 命令 AO 245 异常 中 止 输出 
DONT 254 拒绝 执行 指定 选项 IP 244 中 断 进程 
DO 253 允许 开放 指定 选项 BRK 243 中 断 
WONT 252 拒绝 执行 指定 选项 DM 242 数据 标记 
WILL 254 同意 执行 指定 选项 NOP 241 无 操作 
SB 250 子 选 项 开始 SE 240 子 选 项 结束 
GA 249 继续 进行 EOR 239 记录 结束 符 
EL 248 删除 行 ABORT 238 异常 中 止 进程 
EC 247 转 义 字符 SUSP 237 挂 起 当前 进程 
AYT 246 测试 对 方 是 否 在 运行 EOF 236 文件 结束 符 








Internet 协议 族 的 许多 协议 都 使 用 这 种 字符 集 , 如 FTP、SMTP、Finger 等 都 使 用 NVT 
ASCII 来 描述 客户 命令 和 服务 器 响应 。 
Telnet 在 建立 登录 关系 时 ,首先 进行 选项 协商 ,就 是 说 Telnet 连接 的 一 方 可 以 提出 某 
些 选 项 , 另 一 方 或 同意 或 反对 ,在 协商 基础 上 双方 对 选项 选择 达成 一 致 。 选 项 协商 用 于 配置 
本 地 和 远程 主机 间 的 工作 模式 。 
Telnet 部 分 选项 如 表 8-2 所 示 ,用 于 配置 沟通 客户 与 服务 器 的 TCP 连接 。 


表 8-2 Telnet 部 分 选项 





类 型 取 值 描 述 

传输 二 进 制 0 将 传输 改 为 8 位 二 进 制 字 节 回 应 
回 显 1 允许 一 端 回 显 它 收 到 的 数据 
抑制 GA 3 不 在 数据 后 发 Go Ahead 信号 
状态 5 请 求 远 地 系 统 选项 的 状态 

时 间 标 志 6 请 求 时 间 标志 插 人 返回 流 

终端 类 型 24 交换 终端 类 型 信息 

记录 末 25 结束 数据 发 送 

行 模式 34 本 地 编辑 , 整 行 发 送 


选项 协商 需要 3 个 字 节 : 一 个 IAC 字 节 ,接着 一 个 字 节 是 WILL、DO、WONT 和 
DONT 这 四 者 之 一 ,最 后 一 个 字 节 指明 激活 或 禁止 的 选项 代码 。 选 项 可 以 包含 子 选项 ,SB 
是 子 选 项 协商 的 起 始 命 令 标 志 。 

对 于 大 多 数 Telnet 的 服务 器 进程 和 客户 进程 有 4 种 操作 方式 : 半 双 工 、 一 次 一 个 字符 
方式 一 次 一 行 方 式 和 行 方 式 。 大 多 数 的 Telnet 实现 都 把 一 次 一 字符 方式 作为 默认 方式 ， 
这 需要 激活 服务 器 的 抑制 GA(SUPPRESS GO AHEAD) 选 项 ,可 以 通过 由 客户 进程 发 送 
DO SUPPRESS GO AHEAD( 请 求 激活 服务 器 进程 的 选项 ) 请 求 完 成 ,也 可 以 通过 服务 器 
进程 给 客户 进程 发 送 WILL SUPPRESS GO AHEAD( 服 务 器 进程 激活 选项 ) 请 求 来 完成 。 
服务 器 进程 通常 还 会 跟着 发 送 WILL ECHO, 以 使 回 显 功 能 有 效 。 
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在 数据 传输 过 程 中 ,现在 的 Telnet 往往 都 会 采用 行 方式 。 这 里 不 再 给 出 详细 的 工作 过 
程 分 析 ,需要 的 读者 请 参考 相关 书籍 。 


8.2.2 Telnet 报 文 实例 


下 面 利 用 Wireshark 在 网 络 中 捕获 的 Telnet 报 文 实例 ,对 TCP 连接 过 程 和 Telnet 协 
议 工 作 的 过 程 进行 简要 分 析 说 明 。 

图 8-5 所 示 为 登录 到 本 书 实验 所 用 Telnet 服务 器 时 捕获 的 TCP 报 文 。Wireshark 的 
显示 过 滤器 已 经 设置 为 "tcp. port 一 一 23”, 即 只 显示 Telnet 应 用 相关 的 报 文 。 



















Tp 
TELNET 






461 188.9802690'192.168.1.44 。 192.168.1.27 


可 54 adobeserver- 
462 190.1193740192.168.1.27 。 192.168.1.44 57 Telner Data ... 
‘ 
























I ST VIE cm CeIn 
田 Internet Protocol Version 4, Src: 192.168.1.44 (192.168.1.44), Dst: 192.168.1.27 (192.168.1.27) 


Source port: adobeserver-2 (1103) 
Destination port: relner (23) 
[strean index: 38] 


Sequence number: 0 (relative sequence number) 
Header length: 32 bytes 





日 
000， 








Congestion window Reduced (cwa): Noc ser 
ECN-Echo: Nor Ser 


a Reset: Not set 
we 
0 = Finy NO Ser 
window 5ize Value: 65535 
[calculated window size: 65535] 
| checksun: ox4afo Tt disabled] 
S Options: C12 bytes), Waxinun segnent 5i2e，No_operarion (wop) ，window scale，No_operarion Cop)，wo_operarion 


nd: SS 
Length: 4 














图 8-5 Telnet 登录 前 的 TCP 连接 报 文 实例 


观察 Wireshark 包 列 表 窗 格 ,可 以 看 到 在 Telnet 开始 工作 前 , 先 捕获 到 3 个 TCP 报 文 
段 ,这 就 是 建立 TCP 连接 的 三 次 握手 。 

包 解 析 窗 格 中 解析 了 第 一 个 握手 报 文 段 。 目 标 端口 为 23, 即 Telnet 服务 器 端口 , 源 端 
口 为 动态 端口 。 标 志 位 仅 SYN 置 1 表示 这 是 TCP 连接 请 求 。 注 意 选 项 部 分 的 内 容 和 格 
式 , 高 亮 部 分 的 MSS 为 1460 字 节 ,原始 数据 里 是 TLV 格式 的 数据 。 

在 TCP 连接 建立 后 即 开始 Telnet 协商 ,图 8-6 所 示 为 发 出 的 第 一 个 Telnet 协商 。 

图 8-6 中 高 亮 的 部 分 为 Telnet 协商 部 分 ,为 “IAC 命令 码 选项 码 ” 格 式 ,图 中 为 “IAC 
DO AO” 表 示 要 开始 协商 认证 模式 。 之 后 Telnet 客户 会 向 服务 器 发 回 “IAC WILL AO” 的 
响应 ,然后 便 开始 继续 协商 通信 设置 参数 ,直至 完成 协商 开始 数据 传输 。 图 8-7 为 完成 协商 
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后 Telnet 服务 器 传 给 客户 端的 数据 ,这 是 服务 器 的 名 称 和 系统 提示 信息 。 


462 190.1193740'192.168.1.27 192.168.1.44 TELNET 。 57 Telnet Dara ... 
463 190. 1197080'192.168.1.44 。 192.168.1.27 TELNET 57 Telnet Dara . 
192. TcP 54 telnet > adobeserver-2 [ACK] Seq=4 Ack=4 win=58 ~ 
» 








Transmission Control protocol, src Port: telnet (23), Dst Port: adobeserver-2 (1103), Seq: 1, Ack: 1, Len: 3 ~ 
Source port: telnet (23) 
Destination port: adobeserver-2 (1103) 
[strean index: 38] 
Sequence number: 1 (relative sequence number) 
[Next sequence number: 4 (relative sequence number)] 
Acknowledgment number: 1 (relative ack number) 
Header length: 20 bytes 
日 Flags: 0x018 (psH, ACK) 
.= Reserved: Not ser 
= Monce: Not Set 
~ Congestion window Reduced (CwR): Not ser 
= ECN-Echo: Nor ser 
= Urgent: Not ser 
~ Acknowledgnent: set 
= Push: ser 
= Reset: Not ser 
.= Syn: Not ser 
村 -0 ~ Fin: Nor ser 
window size value: 92 
[calculated window size: 5888] 
[window size scaling factor: 64] 
Checksum: Ox3f59 [validarion disabled] 
® [SEQ/ACK analysis] 

















8-6 Telnet 协商 报 文 实例 


El Elk Yew Go Cpture Analre Statstes Teephony Toog jntana Heb 


eve oe too com 
Protocol Length lnfo 
TELNET 156 Telnet Data ... 

















Frame 482: 156 bytes on wire (1248 bits), 156 bytes captured (1248 bits) on interface O : 
Ethernet II, Src; Vmware_7e:4e:4d (00:0c:29:7e:4e:4d), Dst: Giga-Byt_6c:5a:ee oad ee ee | 
.44 (192.168.1.44) 








a Internet Protocol Version 4, Src: 192.168.1.27 (192.168.1.27), Dst: 192.168. 
日 Transmission Control protocol, Src Port: telnet (23), Dst Port: adobeserver-2 (1103), Seq: 64, Ack: 73, Len: 10 

Source port: telnet (23) 

Destination port: adobeserver-2 (1103) 

[stream index: 38] 

Sequence number: 64 (relative sequence number) 

[Nexr sequence number: 166 。 (relarive sequence number)] 

Acknowledgment number: 73 (relative ack number) 

Header length: 20 bytes 








[calculated window size: 5888] 
[window size scaling factor: 64] 
Checksum: Ox8487 [validation disabled] 
@ [SEQ/ACK analysis] 
日 Telner 
日 pon't Echo 
Command: Don't (254) 
Subconmand: Echo 
日 MT1 Echo 
Command: wi11 (251) 
Subcommand: Echo 
Data: \r\n 




















+ Ey 


8-7 ”Telnet 数据 报 文 实例 
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限于 篇 幅 , 这 里 没有 给 出 Telnet 完整 工作 的 通信 报 文 。 本 章 实验 8-1 为 Telnet 实验 ， 
请 读者 通过 实验 对 Telnet 服务 的 一 个 完整 过 程 进行 观察 和 分 析 ,以 充分 了 解 其 工作 原理 。 


6.3 HTTP 协议 


超 文 本 传输 协议 HTTP(HyperText Transfer Protocol) 主要 用 于 从 WWW 服务 器 传 
输 超 文本 到 本 地 浏览 器 。HTTP 协议 是 作为 一 种 请 求 /回答 协议 来 实现 的 。 客 户 请 求 从 
Web 服务 器 上 传输 某 一 页 , Web 服务 器 则 以 那 一 页 来 应 答 。 

HTTP 1.0 实际 的 通讯 不 提供 持续 连接 , 当 HTTP 服务 器 回答 了 客户 的 请 求 之 后 ,就 
撤销 TCP 连接 ,直到 客户 发 布下 一 个 请 求 时 再 次 连接 ,这 会 造成 一 些 性 能 上 的 缺陷 。 例 如 ， 
访问 一 个 包含 有 许多 图 像 的 网 页 文件 的 整个 过 程 包含 了 多 次 请 求 和 响应 ,每 次 请 求 和 响应 
都 需要 建立 一 个 单独 的 连接 ,每 次 连接 只 是 传输 一 个 文档 和 图 像 , 上 一 次 和 下 一 次 请 求 完全 
分 离 。 这 样 即 使 图 像 文件 都 很 小 ,但 是 客户 端 和 服务 器 端 每 次 建立 和 关闭 连接 将 产生 较 多 
的 开销 ,并 且 将 降低 服务 器 和 客户 机 的 通信 性 能 。 当 一 个 网 页 文件 中 包含 Applet JavaScript 
文件 .CSS 文件 等 内 容 时 ,也 会 出 现 类 似 的 情况 。 因 此 现在 已 经 较 少 使 用 HTTP 1.0。 

目前 更 多 地 使 用 的 是 符合 RFC 2616 规范 的 HTTP 1. 1。HTTP 1. 1 支持 持续 连接 ， 
即 在 一 个 TCP 连接 上 可 以 传送 多 个 HTTP 请 求 和 响应 ,减少 了 建立 和 关闭 连接 的 消耗 和 
延迟 。 一 个 包含 有 多 个 图 像 的 网 页 文件 的 多 个 请 求 和 应 答 可 以 在 一 个 连接 中 传输 ,但 每 个 
单独 的 网 页 文件 的 请 求 和 应 答 仍 然 需要 使 用 各 自 的 连接 。 

本 节 从 协议 分 析 的 角度 介绍 HTTP 协议 ,着 重 介绍 协议 的 基本 报 文 格式 ,对 HTTP 1.1 
的 新 特性 就 不 做 进一步 的 分 析 , 有 需要 的 读者 可 以 查阅 相关 资料 。 


8.3.1 HTTP 协议 特点 和 报 文 格式 


HTTP 协议 基于 TCP 协议 ,工作 在 应 用 层 。HTTP 采用 请 求 / 响 应 的 握手 方式 来 完成 
HTTP 定义 的 事务 处 理 基本 过 程 。 

在 客户 与 服务 器 建立 TCP 连接 后 ,一 个 客户 将 一 个 HTTP 请 求 发 送 给 HTTP 服务 器 
(通常 在 TCP 的 80 号 端口 ),HTTP 服务 器 接受 这 个 请 求 , 并 给 客户 发 送 一 个 合适 的 回答 。 
这 个 过 程 中 HTTP 协议 要 求 客户 必须 传送 的 信息 只 是 请 求 方法 和 路 径 。 

HTTP 实际 使 用 的 请 求 方法 只 有 数 种 ,因而 服务 器 程序 规模 小 且 简单 ,与 其 他 协议 ,如 
FTP, 相 比 时 间 开销 小 .速度 快 ,可 以 有 效 地 处 理 大 量 请 求 , 从 而 得 到 了 广泛 的 使 用 。 因 此 ， 
HTTP 最 大 的 特点 是 其 简单 性 。HTTP 协议 对 事物 处 理 没 有 状态 记忆 ,是 无 状态 的 协议 ， 
这 种 无 状态 性 使 客户 与 服务 器 连接 通信 运行 速度 快 ,服务 器 应 答 也 快 。 

HTTP 信息 采用 RFC 822 的 普通 信息 格式 ,如 图 8-8 所 示 。 信 息 包含 请 求 行 /状态 行 
(start-line) ,信息 首部 (message-header) 、 空 行 (null) 和 信息 体 (message-body)。 

下 面 分 别 说 明报 文 的 各 个 内 容 。 


1. 请 求 行 /状态 行 
请 求 行 /状态 行 指示 本 报 文 的 请 求 类 型 或 响应 的 状态 等 信息 。 客 户 端 发 出 的 是 请 求 报 


179 


MY 


Ney TCP/IP 协 议 分 析 教 程 与 实验 





请 求 行 /状态 行 
信息 首部 
空 行 


信息 体 (长 度 可 变 ) 

















图 8-8 HTTP 报 文 格式 


文 , 此 处 就 是 请 求 行 ; 服务 器 端 发 出 的 是 响应 报 文 ,此 处 就 是 状态 行 。 
(1) 在 客户 端 发 出 的 请 求 报 文中 指明 请 求 类 型 (方法 )、URI(CUniform Resource 
Identifier, 统 一 资源 标识 符 ) HTTP 版 本 号 。 请 求 行 格式 如 图 8-9 所 示 。 


方法 | 空格 URI 空格 | HTTP 版 本 


8-9 HTTP 请 求 行 格式 











常用 的 HTTP 请 求 的 方法 和 基本 作用 如 表 8-3 所 示 。 
表 8-3 HTTP v1.1 方法 











方法 描 述 
GET 获取 请 求 的 URL 指定 的 页 面 信息 文档 
HEAD 获取 请 求 的 URL 相关 的 报头 (元 数据 ) 信 息 
POST 向 指定 资源 提交 数据 进行 处 理 请 求 (如 提交 表单 或 者 上 传 文件 ) 
OPTION 允许 客户 端 查 看 服务 器 性 能 相关 的 选项 或 要 求 
PUT 从 客户 端 向 服务 器 传送 的 数据 取代 指定 的 文档 的 内 容 
DELETE 请 求 服务 器 删除 指定 的 页 面 
TRACE 回 显 服务 器 收 到 的 请 求 ,主要 用 于 测试 或 诊断 
CONNECT HTTP 1.1 协议 中 预 留 给 能 将 连接 改 为 管道 方式 的 代理 服务 器 


各 种 方法 中 ,GET、HEAD、POST 方法 是 使 用 最 频繁 的 方法 ,因而 被 大 多 数 服务 器 支 
持 。 下 面 对 其 用 法 做 进一步 说 明 。 

。 GET 方 法 的 目的 是 取 回 由 URL 指定 的 资源 。 若 对 象 是 文件 , 则 GET 取 的 是 文件 
内 容 ; 车 对 象 是 程序 或 描述 , 则 GET 取 的 是 该 程序 执行 的 结果 ,或 该 描述 的 输出 ; 
若 对 象 是 数据 库 查询 , 则 GET 取 的 是 查询 的 结果 。GET 允许 通过 使 用 IF 语句 来 
增加 附加 的 灵活 性 , 即 条 件 GET。 当 在 IF 语句 中 的 条 件 得 到 满足 时 ,数据 便 被 传 
输 。 如 果 Web 页 在 最 近 没有 被 更 新 ,HTTP 客户 便 可 以 使 用 Web 页 在 缓冲 区 的 找 
贝 。 这 样 可 以 充分 利用 网 络 带 宽 。 

HEAD 方法 要 求 服务 器 查找 某 对 象 的 元 信息 而 不 是 对 象 本 身 , 仅 要 求 服务 器 返回 
关于 文档 的 信息 ,而 非 文档 本 身 。 例 如 ,用 户 想 知 道 对 象 的 大 小 .对象 的 最 后 一 次 修 
改 的 时 间 等 。HEAD 方法 和 GET 方法 的 工作 非常 类 似 , 只 是 信息 体 不 被 返回 到 客 
户 处 。 

POST 方法 从 客户 向 服务 器 传送 数据 ,用 来 请 求 HTTP 服务 器 ,将 包含 在 请 求 体 中 
的 数据 当 作 HTTP 服务 器 一 个 新 的 记录 来 接收 。 这 种 方法 可 被 用 来 将 消息 发 给 一 
个 新 闻 组 ,或 向 HTTP 服务 器 提交 一 个 HTML 表格 ,或 者 将 一 个 记录 附加 到 
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HTTP 服务 器 上 驻 留 的 一 个 数据 库 上 去 。POST 请 求 可 能 会 导致 新 的 资源 的 建立 
或 已 有 资源 的 修改 。 

其 他 方法 的 进一步 的 含义 和 工作 特点 请 参考 相关 资料 。 

请 求 行 中 还 有 统一 资源 标识 符 URI, 它 是 URL(Uniform Resource Locator, 统 一 资源 
定位 符 ) 和 URN(Uniform Resource Name, 统 一 资源 命名 ) 的 组 合 。URI 是 以 一 种 抽象 的 、 
高 层次 概念 定义 统一 资源 标识 ,而 URL 和 URN 则 是 具体 的 资源 标识 的 方式 。URL 和 
URN 都 是 一 种 URI。URL 也 称 为 Web 地 址 , 即 俗称 网址 ”。URL 的 完整 格式 由 以 下 基 
本 部 分 组 成 : 

协议 +"://" + 主机 域名 (IP 地 址 ) + ":" 端 口号 + 目录 路 径 + 文件 名 
URL 类 包含 的 定位 该 资源 的 信息 不 能 是 相对 的 ,而 URI 实例 的 路 径 则 可 以 绝对 表示 ,也 可 
以 是 相对 路 径 表 示 的 。 

(2) 在 服务 器 发 出 的 响应 报 文中 ,指明 HTTP 版 本 号 和 服务 器 执行 请 求 的 状态 信息 。 
响应 信息 中 的 状态 信息 由 协议 版 本 号 .数字 式 的 状态 码 以 及 对 应 的 状态 短 请 组 成 。 状 态 行 
格式 如 图 8-10 所 示 。 





空格 | 状态 短语 





图 8-10 ”HTTP 状态 行 格式 


状态 码 是 3 位 十 进 制 数 的 状态 编码 ,主要 由 RFC 2616 规范 定义 并 得 到 RFC 2518、 
RFC 2817、RFC 2295、RFC 2774 和 RFC 4918 等 规范 扩展 。 表 8-4 给 出 了 主要 的 HTTP 1.1 
状态 码 及 定义 。 

不 同 取 值 范围 的 状态 码 有 基本 的 用 途 划 分 。100 一 199: 信息 ,表示 请 求 已 接收 ,继续 处 
理 ; 200 一 299: 成 功 ,表示 请 求 已 被 成 功 接收 理解、 接 受 ; 300 一 399: 重 定向 ,要 完成 请 求 
必须 进行 更 进一步 的 操作 ; 400 一 499: 客户 端 错误 ,请 求 有 语法 错误 或 请 求 无 法 实现 ; 
500 一 599: 服务 器 端 错误 ,服务 器 未 能 实现 合法 的 请 求 。 

状态 短语 是 对 状态 码 的 文字 解释 , 表 8-4 中 给 出 了 定义 说 明 , 详 细 的 说 明 请 查阅 RFC 
文档 或 相关 资料 。 

表 8-4 HTTP v1.1 状态 码 

















状态 码 定义 状态 码 定 : 总 状态 码 定 义 
lxx 信息 206 部 分 内 容 400 坏 的 请 求 
100 继续 3xx 重 定向 401 非 授权 
101 切换 协议 300 多 重 选择 402 需要 付费 
2xx 成 功 301 永久 移 走 403 禁止 
200 OK 302 已 找到 404 未 找到 
201 创建 303 参见 其 他 405 方法 不 允许 
202 接受 304 未 修改 406 不 可 接受 
203 非 权 威信 息 305 用 户 代 理 407 要 求 代理 认证 
204 无 内 容 307 临时 重 定向 408 请 求 超时 
205 重 置 内 容 4xx 客户 端 错误 409 冲突 
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续 表 
状态 码 定义 状态 码 定 义 状态 码 定义 
410 已 丢失 415 不 支持 的 媒体 类 型 501 未 实现 
411 要 求 长 度 416 请 求 范 围 不 能 满足 502 坏 的 网 关 
412 前 提 条 件 失效 417 期 望 值 失 效 503 服务 不 可 用 
413 请 求实 体 太 大 5xx 服务 器 错误 504 网 关 超时 
414 请 求 的 URI 太 长 500 内 部 服务 器 错误 505 HTTP 版 本 不 支持 





2. 信息 首部 


用 于 在 客户 端 和 服务 器 之 间 交 换 附 加 信息 。HTTP 信息 首部 有 一 般 首 部 .请 求 首 部 、 
响应 首部 和 实体 首部 4 类。 信息 首部 每 行 都 用 一 个 “首部 名 : 值 ? 这 样 的 形式 来 表示 ,首部 
名 和 首部 值 用 冒号 分 割 。 

(1) 一 般 首 部 也 称 为 通用 头 ,是 请 求 和 响应 中 都 可 以 出 现 的 .用 于 描述 报 文 的 一 般 信 
息 。 通 用 头 的 扩展 ,要 求 通信 双方 都 支持 相应 的 扩展 。 如 果 存 在 不 支持 的 通用 头 ,一 般 将 会 
作为 实体 首部 来 处 理 。 部 分 常用 的 通用 头 域 如 下 。 

。 Cache-control: 高 速 缓存 指示 ,指定 请 求 和 响应 遵循 的 缓存 机 制 。 

Connection: 指定 与 请 求 响应 连接 有 关 的 选项 。 

。 Date: 报 文 构建 日 期 。 

。 MIME-version: 发 送 端 使 用 的 MIME 版 本 。 

。 Pramga: 用 于 包含 特定 执行 指令 ,可 能 被 应 用 于 请 求 /响应 链 中 任何 接收 者 。 

。 Transfer-Encoding: 指示 了 消息 主体 的 编码 转换 。 

。 Upgrade: 允许 客户 端 指定 它 支 持 什 么 样 的 附加 传输 协议 。 

(2) 请 求 首部 也 称 为 请 求 头 ,只 用 于 请 求 报 文 。 请 求 头 定义 客户 端的 配置 和 客户 端 所 
期 望 的 文档 格式 ,允许 客户 端 传递 请 求 的 附加 信息 和 客户 端 自 己 的 附加 信息 给 服务 器 。 这 
些 头 域 作为 请 求 的 修饰 符 。 常 用 的 请 求 头 有 以 下 几 种 。 

。 Accept: 客户 端 可 以 接受 的 数据 类 型 。 

。 Accept-charset: 客户 端 浏览 器 可 以 处 理 的 字符 集 。 

Accept-encoding: 客户 端 可 以 处 理 的 数据 编码 机 制 。 

Accept-language: 客户 端 浏览 器 可 以 接受 的 语言 种 类 。 

Authorization: 认证 消息 ,包括 用 户 名 和 口令 。 

Cookie: 包含 cookie, 是 最 重要 的 请 求 头 信息 。 

From: 提供 客户 端 用 户 的 E-mail 地 址 。 

Host: 客户 端 指 定 的 请 求 初始 URL ,说 明了 接受 请 求 服务 器 的 主机 名 和 端口 号 。 
Hf-Match: 条 件 方法 ,验证 实体 的 一 个 或 多 个 是 否 就 是 服务 器 当前 实体 。 
If-Modified-Since: 条 件 方法 ,根据 请 求 变量 在 此 头 域 里 指定 的 时 间 之 后 有 没有 改变 
而 执行 不 同 的 操作 。 

Range: 客户 端 请 求 正文 的 范围 ,以 字 节 为 单位 。 

。 Referer: 允许 客户 指定 某 资源 的 URI, 客 户 端 从 此 资源 获得 的 请 求 URI 的 地 址 。 
User-agent: 客户 端 软件 类 型 。 
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还 有 其 他 一 些 请 求 头 ,这 里 没有 全 部 列 出 ,需要 的 读者 可 以 查阅 有 关 RFC 文档 。 特 别 
的 部 分 请 求 头 在 实际 应 用 中 虽然 在 使 用 ,但 目前 却 不 一 定 已 经 进入 网 络 标准 ,如 Client-IP 
(提供 客户 端 机 器 的 IP 地 址 ) 。 
(3) 响应 首部 也 称 为 响应 头 , 只 用 于 响应 报 文 ,用 来 向 客户 端 提供 服务 器 的 配置 信息 和 
关于 请 求 的 信息 。 常 用 的 头 域 有 以 下 几 种 。 
。 Accept-range: 给 出 服务 器 接受 客户 请 求 的 范围 ; 
。 Age: 文档 的 使 用 期 限 ; 
。 Etag: 提供 了 请 求 对 应 变量 (variant) 的 当前 实体 标签 ,使 用 不 同 URL 发 布 的 同一 
个 资源 其 Etag 值 是 一 样 的 ; 
。 Location: 对 于 一 个 已 经 移动 的 资源 ,用 于 重 定向 请 求 者 到 另 一 个 位 置 ; 
。 Retry-After: 用 于 一 个 503( 服 务 不 可 得 ) 响 应 ,向 请 求 端 指明 服务 不 可 得 的 时 长 ; 
。 Public: 给 出 服务 器 所 支持 的 方法 列表 ; 
Server: 指出 服务 器 程序 类 型 和 版 本 号 。 
(4) 实体 首部 也 称 为 正文 头 ,给 出 文档 主体 数据 的 信息 。 实 体 头 部 主要 出 现在 响应 中 ， 
POST 和 PUT 类 型 的 请 求 也 会 使 用 实体 头 部 。 常 见 的 实体 首部 如 下 。 
Allow: 请 求 的 URICRequesrURI) 指 定 资源 所 支持 的 几 种 方法 
。 Content-encoding: 实体 的 编码 机 制 ; 
。 Content-language: 定义 实体 的 语言 类 型 ; 
Content-length: 按 十 进 制 或 八 位 字 节 数 指明 了 发 给 接收 者 的 实体 主体 的 大 小 , 即 指 
定 包含 于 请 求 或 响应 中 的 数据 的 字 节 长 度 ; 
Content-range: 实体 头 域 与 部 分 实体 主体 一 起 发 送 , 用 于 指明 部 分 实体 主体 在 完整 
实体 主体 里 哪 一 部 分 被 采用 ; 
。 Content-type: 指明 发 给 接收 者 的 实体 主体 的 媒体 类 型 ; 
Expires: 给 出 实体 的 有 效 期 ; 
。 Last-modified: 给 出 实体 上 次 被 修改 的 日 期 和 时 间 ， 
。 Extention-header: 允许 客户 端 定义 新 的 。 
各 类 首部 中 支持 的 信息 类 型 较 多 ,上 面 也 只 对 部 分 内 容 进行 了 简要 说 明 , 需 要 时 可 以 查 
阅 RFC 相关 文档 或 资料 。 


3. 空 行 
即 一 个 回 车 和 换行 ,用 于 分 隔 信息 首部 和 信息 体 。 
4. 信息 体 


信息 体 也 称 为 实体 ,是 用 来 传递 与 请 求 或 响应 相关 的 实体 的 。 在 客户 的 请 求 报 文中 , 信 
息 体 存放 POST、PUT 等 请 求 向 服务 器 传送 的 数据 ; 在 服务 器 发 出 的 响应 报 文中 ,信息 体 存 
放 服 务 器 返回 的 客户 所 请 求 的 页 面 ,内 容 均 使 用 MIME (Multipurpose Internet Mail 
Extensions, 多 用 途 互 联网 邮件 扩展 类 型 ) 进 行 编码 。 

具体 看 实体 是 一 个 经 过 编码 的 字 节 流 ,其 编码 方式 由 Content-Encoding 或 Content- 
Type 定义 ,其 长 度 由 Content-Length 或 Content-Range 给 出 。 
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传输 编码 (Transfer-Encoding) 主 要 是 用 来 增强 保密 性 或 让 支持 这 种 编码 的 接收 者 能 
正确 接收 。 使 用 传输 编码 时 ,信息 体 是 经 过 编码 的 实体 ; 未 使 用 传输 编码 时 ,信息 体 就 是 实 
体 本 身 。 


8.3.2 HTTP 报 文 实例 


为 了 更 好 地 理解 HTTP 协议 的 工作 特点 ,下 面 通过 使 用 Wireshark 捕获 的 报 文 进行 
说 明 。 

图 8-11 和 图 8-12 是 使 用 浏览 器 访问 www. espn. com 时 捕获 的 HTTP 请 求 和 响应 报 
文 。 客 户 端 需要 先 和 服务 器 的 TCP80 端口 建立 起 TCP 连接 ,这 在 图 8-11 中 包 列 表 窗 格 中 
编号 3 一 5 的 包 里 可 以 看 到 。 





Source Destination Protocol Length Info Sm 

172.16.0.122 199.181.132.250 Tcp 74 52166 > http [SYN] seq-0 win-5840 Len-0 MSS-1460 

199.181.132.250172.16.0.122 Tp 74 http > 52166 [SYN, ACK] Seq-0 Ack=l winr4140 Lenr 
172.16.0.122 。 199.181.132.250 TCp 66 52166 > http ad Seql ekaliwinesdse Lomo TSY 
172.16.0.122 199.181.132.250 HTIP ~ 445 GET / HTTP/1. 


本 











Frame 6: 445 bytes on wire (3560 bits), 445 bytes captured (3560 bf 

a Ethernet II, src: Dell_c0:56:f0 (00:21:70:c0:56:f0), Dst: Cisco_31: 07:33 (00:26:0b:31:07:33) 

| 田 Interner Protocol Version 4, src: 172.16.0.122 (172.16.0.122), Dst: 199.181,132.250 (199.181.132.250) 
| H Transmission Control Protocol, Src Port: 52166 (52166), Dst Port: http (80), seq: 1, Ack: 1, Len: 379 


"8 
® [expert Info (chat/sequence): GET ANTPALINWNI 
Request Merhod: 
Request URI: / 
Request Version: HTTP/11 





USer -Agent a/5.0 Cl; 9.1.8) 
Accept: text /Penl, appiication /he ml, appli carion /wes Es 9,°/® jo 0 ar 
Accepr-Language: en-us,en;q-0.5\r\n 

Accepr-Encoding: gzip,deflate\r\n 

Accepr-Charset: I50-8859-1,utf-8;q-0.7,*;9-0.7\r\n 

Keep-Alive: 300\r\n 

Connection: keep-alive\r\n 

NrNn 





; 
[HTTP request 1/1] 
TResponse in frame: 7] 








0d 0a 


5c 3 2 35 38 30 20 28 38 
1 六 站 3 20 53 3 3 和 69 36 38 
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5 62 0219 Ube SS 
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8-11 HTTP 请 求 报 文 实例 


随后 客户 端 发 出 HTTP 请 求 报 文 。 报 文 的 请 求 行 表 明 方 法 是 GET ,请求 的 URI 为 服 
务 器 “/”, 这 是 因为 如 果 URL 中 没有 给 出 访问 资源 的 绝对 路 径 , 那 么 当 它 作为 请 求 URI 时 ， 
必须 以 “/” 的 形式 给 出 , 即 表示 服务 器 根 目录 。HTTP 版 本 为 HTTP/1. 1。 注 意 报 文 的 各 
个 组 成 部 分 之 间 用 “\rn\n” 即 回 车 换行 来 分 隔 。 

接 下 来 的 Host 给 出 了 接受 请 求 的 服务 器 的 主机 名 为 www. espn. com 以 及 其 他 的 请 求 
首部 信息 ,请 求 报 文 最 后 是 一 个 空 行 “\r\n”, 其 后 没有 信息 体 。 

图 8-12 的 响应 报 文 首先 是 状态 行 ,可 以 看 到 状态 码 (status code) 的 值 是 301, 表 明 这 是 
一 个 重 定向 的 响应 ,说 明 信 息 为 “永久 移动 "(Moved Permanently) ,从 报 文中 可 以 看 到 ,对 
www. espn. com 的 访问 将 被 重 定向 到 新 的 URL 上 ,这 个 地 址 是 http://espn. go. com。 接 
下 来 的 响应 首部 说 明了 响应 的 HTTP 服务 的 特点 ,如 时 间 、 服 务 器 类 型 (Apache) 响应 的 
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内 容 类 别 (text/html) 及 字符 集 等 。 


eet ono Go re Sees To Te te 





Time Source Destination Protocol Length Info 
60.071616 172.16.0.122 199.181.132.250 HTIP 445GET / HTTP/1.1 
7 0.140994 199.181.132.250172.16.0.122 HIP 496 HTTP/1.1 301 Moved Permanently (text/html) 





日 





Transmission Control Protocol, Src Port: http (80), Dst Port: 52166 (52166), Seq: 1, Ack: 380, Len:; 430 
日 


日 
田 [Expert Info cr HTTP/1.1 301 Moved Permanently\r\n] 


Request Version: HTTP/1 





07 Apr 2010 18:12:05 Qnr\n 
Server: Apache\r\n 


[Content length: 227] 
Xx-Cnection: close\r\n 
Content -Type: text/html; charset=iso-8859-1\r\n 
NrNm 
[HTTP response 1/1] 
[Time since request: 0.069378000 seconds] 


JRequest in frame: 6] 
日 Line-based rex data: text/html 
<!DOCTYPE HTML PUBLIC“-//IETF//DTD HTWL 2.0//EN">\n 
<html><head>\n 
<title>301 Moved Permanently</title>\n 
</head><body>\n 
<hl>Moved Permanently</hi>\n 
<p>The document has moved <a href="http://espn.go. com/™>here</a>.</p>\n 
</body></html>\n 














Apr 2010 18:12:0 
5 GMT..S erver: A 


图 8-12 HTTP 响应 报 文 实例 


一 个 空 行 之 后 就 是 信息 体 , 即 报 文中 最 后 部 分 为 返回 的 HTML 页 面 内 容 。 


下 面 通过 访问 一 个 复杂 一 些 的 网 站 页 面 来 进一步 分 析 HTTP 协议 工作 的 特点 。 





在 济 


览 器 地 址 栏 输入 清华 大 学 网 站 地 址 www. tsinghua. edu. cn, 用 Wireshark 捕获 通信 数据 并 


过 滤 显示 相关 的 HTTP 数据 包 , 如 图 8-13 所 示 。 








56 Mttp > 51811 [SYN, ACK] Seq-0 ACk=1 win=4320 Len-0 MSS-1460 W5-1 5 
54 SLB11 > htep [ACK] Seq=1 Ack=l Win=65700 Len0 








© [Expert Info (Chat/seauence): GET / HTTP/1.1\r\n] 

Request Method: GET 

Request URI: / 

Request Version: HTrP/1.1 
Host: wow. tsinghua. edu. cn\r\n 

keep-alive\r\n 
‘ext /htnl ,applicat ion/xhtml+xnl ,application/xal:; 9-0. 9, image/webp,*/*; 9-0. 8\r\n 

User -Agent: Mozi11a/5.0 (windows NT 6.1) Applewebkit/537.36 (KH™ML, like Gecko) Chrome/42.0.2311.154 safari/537.36 LBSROWSER\r\N 
Accept-Encoding: gzip, deflate, sdch\r\n 
Accept -Language: zh-CN,zh;q-0.8\r\n 
rm 


rrp request 1/8] 








图 8-13 访问 较 复杂 的 网 页 的 实例 
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从 图 8-13 可 以 清楚 地 看 到 ,客户 端 (192. 168. 0. 101) 和 服务 器 (166. 111. 4. 100) 在 通信 
一 开始 就 建立 了 两 个 TCP 连接 。 这 是 因为 对 于 有 图 像 或 嵌入 脚本 等 多 种 对 象 的 页 面 数据 ， 
HTTP 1.0 在 一 次 页 面 访问 中 需要 建立 多 个 TCP 连接 ,每 个 连接 完成 页 面 的 一 个 对 象 数据 
传送 后 即 拆除 连接 。HTTP 1. 1 则 允许 在 同一 个 连接 中 服务 于 多 重 请 求 , 不 必 再 为 每 一 个 
在 一 个 Web 页 上 嵌入 的 图 像 都 建立 一 个 独立 的 连接 。 实 际 上 ,为 完成 本 例 中 的 页 面 访问 ， 
客户 端 建立 了 6 个 TCP 连接 ,在 每 个 连接 中 都 有 多 个 GET 请 求 。 这 些 特性 可 以 在 实际 网 
络 通信 中 捕获 的 报 文 里 观察 到 。 

在 一 次 页 面 访问 中 ,客户 端 会 产生 多 个 GET 报 文 ,Wireshark 能 够 解析 出 相关 的 操作 。 
图 8-13 中 “HTTP request 1/8” 标 明了 这 是 页 面 访问 中 一 个 连接 上 的 8 个 请 求 操作 中 的 第 1 
个 ,注意 观察 客户 端的 TCP 端口 号 就 可 以 确认 这 一 点 。 

客户 端 需 要 对 同一 服务 器 发 出 多 个 请 求 时 ,可 用 流水 线 方式 加 快速 度 ,流水 机 制 就 是 指 
连续 将 多 个 请 求 发 送 完毕 后 再 等 待 响应 。 这 样 就 大 大 地 节省 了 单独 请 求 对 响应 的 等 待 时 
间 ,可 得 到 更 快速 的 浏览 。 图 8-14 显示 出 了 在 多 个 不 同 连接 上 用 流水 线 方式 连续 发 出 多 个 
GET 操作 所 获取 不 同 的 页 面 资源 的 情况 。 


166.111.4. 
1387 23.03426200'166.111- 192.168. 
1428 23. 94344500192. 166- 0. 101 166.111 . 





/inde 


Nm 
(windows NT 6.1) Applewebrit/537.36 (KMTML，11ke Gecko) Chrome/42,0.2311.154 safari/537.36 LBBROWSERVrNn | 
x hem rin 








图 8-14 HTTP 中 的 流水 线 方式 实例 


图 8-14 中 从 编号 为 1533 的 报 文 开始 ,在 不 同 的 TCP 连接 上 ,有 连续 的 6 个 GET 操 
作 , 分 别 请 求 主机 www. tsinghua. edu. cn 上 不 同 的 资源 。 编 号 1533 的 GET 报 文 请 求 的 
URI 为 /publish/newtsh/css/index. css, 其 响应 报 文 在 编号 为 1553, 即 在 编号 1549 的 GET 
报 文 发 送 后 才 收 到 ,这 正 是 流水 线 操作 的 体现 。 

对 于 页 面 数据 量 较 大 的 情况 ,需要 多 个 TCP 报 文才 能 够 完成 数据 传输 ,客户 端 重 新 组 
装 TCP 段 ,以 完成 一 次 GET 请 求 获得 响应 的 全 部 数据 。 

限于 篇 幅 , 本 节 未 把 HTTP 通信 过 程 的 各 种 类 型 报 文 一 一 列 出 ,对 各 种 首部 类 型 及 其 
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作 
@.4 FTP 协议 


通过 网 络 传递 文件 是 一 个 基本 的 网 络 应 用 。 文 件 传输 协议 FTP 提供 在 网 络 上 的 主机 
之 间 共 享 计算 机 程序 或 数据 ,向 用 户 屏 项 不 同 主机 中 各 文件 存储 系统 的 细节 ,以 基于 TCP 
采用 面向 连接 的 方式 在 客户 和 服务 器 之 间 提 供 可 靠 和 高 效 的 数据 传输 。 需 要 注意 的 是 ， 
FTP 把 一 个 完整 的 文件 从 一 个 系统 中 复制 到 另 一 个 系统 中 ,这 与 NFS(Network File 
System, 网络 文 件 系统 ) 不 同 。RFC 959 给 出 了 FTP 的 正式 规范 。 


8.4.1 FTP 协 议 的 工作 原理 


FTP 工作 在 TCP/IP 模型 的 应 用 层 , 采 用 TCP 面向 连接 为 文件 数据 的 传输 提供 了 可 
靠 的 保证 。 
1. FTP 的 工作 过 程 


FTP 采用 客户 机 -服务 器 模式 ,客户 端 需要 安装 FTP 客户 程序 ,服务 器 端 需要 启用 
FTP 服务 ,FTP 基本 的 工作 过 程 如 图 8-15 所 示 。 


1 
1 
Le 用 户 接口 





也 难以 逐一 列举 ,请 读者 结合 本 章 的 实验 8-2 观察 分 析 相 关 报 文 。 
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8-15 FTP 工作 过 程 


用 户 协议 


























FTP 客户 与 服务 器 之 间 要 建立 双重 连接 。 一 个 是 控制 连接 ,使 用 TCP 端口 21, 用 来 传 
输 控制 信息 ,采用 NVT ASCII 格式 ; 一 个 是 数据 连接 ,使 用 TCP 端口 20, 用 于 传递 文件 数 
据 。 文 件数 据 格式 可 以 是 ASCII 码 文 件 和 EBCDIC 文件 ,也 可 以 是 二 进 制 文件 。 文 件 采 用 
的 数据 结构 可 以 是 字 节 流 、 记 录 格 式 或 页 格式 。 

图 8-15 中 客户 端的 用 户 协 议 解释 器 和 服务 器 端的 协议 接口 分 别 负 责 完 成 对 用 户 控 制 
命令 的 解释 或 响应 ,并 且 根 据 需 要 来 激活 文件 传输 功能 。 用 户 接 口 的 功能 是 为 用 户 所 需 提 
供 各 种 交互 界面 ,如 菜单 和 行 命令 等 ,并 把 它们 转换 成 控制 连接 上 发 送 的 FTP 命令 。 

FTP 建立 双重 连接 的 原因 在 于 FTP 是 一 个 交互 式 会 话 系 统 。 客 户 端 每 次 调用 FTP， 
便 与 服务 器 建立 一 个 会 话 ,会 话 以 控制 连接 来 维持 。 控 制 连接 负责 传输 控制 信息 ,例如 ,用 
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户 名 和 口令 ,改变 远程 目录 的 命令 , 取 文 件 或 放 回 文件 的 命令 ,直至 退出 FTP。 当 客户 端 请 
求 传送 文件 时 ,客户 端 还 要 通过 控制 连接 来 定义 文件 类 型 数据 结构 和 传输 方式 。 客 户 每 提 
一 个 文件 传输 请 求 , 服 务 器 与 客户 建立 一 个 数据 连接 ,进行 实际 的 数据 (比如 文件 ) 传 输 。 
一 旦 数据 传输 结束 ,数据 连接 随即 撤销 ,但 控制 连接 依然 存在 ,客户 可 以 继续 发 出 命令 。 此 
时 客户 可 以 撤销 控制 连接 (close 命令 ) ,也 可 以 退出 FTP 会 话 (quit 命令 )。 
FTP 的 文件 传输 模式 有 流 模 式 、 块 模式 和 压缩 模式 ,主要 使 用 的 是 流 模式 。 流 模式 即 
数据 以 字 节 流 的 形式 传送 , 若 数据 结构 采用 的 是 字 节 流 , 则 用 文件 结束 符 (EOF) 指 示 ; 若是 
记录 结构 , 则 用 两 字 节 序列 (EOR,EOF) 指 示 。 


2. FTP 控制 用 的 命令 和 响应 


FTP 控制 连接 采用 和 Telnet 协议 相同 的 机 制 ,通过 命令 和 响应 交互 来 完成 ,命令 和 响 
应 以 NVT ASCII 码 形式 传送 ,每 条 命令 和 响应 都 是 一 个 短 行 ,每 行 都 以 一 个 回 车 换行 
(CR/LF) 对 来 作为 结束 符 。 

FTP 命令 主要 用 于 控制 连接 ,与 Telnet 命令 包括 中 断 进程 Telnet 的 同步 信号 .查询 
服务 器 、 带 选项 的 Telnet 命令 等 相同 。 每 个 命令 以 3 个 或 4 个 NVT ASCII 字符 开始 ,后 面 
带 有 选项 参数 和 一 个 回 车 换行 (CR,LF) 对 来 标识 命令 结束 。 表 8-5 给 出 了 常用 的 命令 。 


表 8-5 常用 FTP 命令 





命 令 描 述 命 令 描 述 
ABOR 中 断 数据 连接 程序 QUIT 从 FTP 服务 器 上 退出 登录 
CDUP< dir path> ”改变 服务 器 上 的 父 目录 REIN 重新 初始 化 登录 状态 连接 
CWD< dir path> ”改变 服务 器 上 的 工作 目录 | REST < offset > 由 特定 偏 移 量 重启 文件 传递 
DELE< filename> ”删除 服务 器 上 的 指定 文件 |RETR<filename> 从 服务 器 上 找 回 (复制 ) 文 件 
LIST < name > 列表 显示 文件 或 目录 RMD < directory > 在 服务 器 上 删除 指定 目录 
MODE < mode > 传输 模式 (S= 流 模式 ,B= |STRU < type> 数据 结构 (F= 文 件 ,R= 记 
块 模式 ,C= 压缩 模式 ) 录 ,P 一 页 面 ) 
MKD< directory> ”在 服务 器 上 建立 指定 目录 | STOR < filename > 储存 (复制 ) 文 件 到 服务 器 上 
PASS< password > 系统 登录 密码 SYST 返回 服务 器 使 用 的 操作 系统 
PORT< address> ”IP 地 址 和 两 字 节 的 端口 ID |TYPE< data type> ”数据 类 型 (A= ASCII, E= 
EBCDIC, I= binary) 
PWD 显示 当前 工作 目录 USER < username> 系统 登录 的 用 户 名 








FTP 响应 都 是 NVT ASCII 码 形式 的 3 位 数字 ,每 行 以 回 车 换行 结尾 。3 位 应 答 码 中 
的 每 一 位 都 有 特定 的 含义 ,前 两 位 的 含义 如 表 8-6 所 示 。 


表 8-6 FTP 应 答 码 第 1 位 和 第 2 位 含义 





应 答 说 明 应 答 说 有明 
Ox 未 定义 寺 徐 大 语法 错 
1 xx 肯定 预备 1% 信息 
2 4% 肯定 完成 ,可 以 发 送 新 命令 2% 连接 
3 x% 肯定 中 介 , 期 待 下 一 命令 3¥ 鉴别 和 记 账 
x 暂 态 否定 完成 关 4% 未 指明 


5 x% 永久 性 否定 完成 5% 文件 系统 状态 
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响应 码 的 第 3 位 说 明 附加 的 含义 。FTP 常见 的 应 答 码 在 表 8-7 列 出 ,需要 时 可 以 参考 
相关 资料 获得 更 详细 的 说 明 。 用 Wireshark 等 抓 包工 具 捕获 到 的 报 文中 ,程序 也 会 给 出 相 
应 的 注释 。 











表 8-7 FTP 应 答 码 

应 答 码 说 明 应 答 码 说 明 
120 服务 器 准备 就 绪 的 时 间 ( 分 钟 数 ) 250 文件 行为 完成 
125 打开 数据 连接 开始 传输 257 路 径 名 建立 
150 打开 连接 331 要 求 密码 
200 成 功 332 要 求 账号 
202 命令 没有 执行 350 文件 行为 暂停 
Zl 系统 状态 回复 421 服务 关闭 
2i2 目录 状态 回复 425 无 法 打开 数据 连接 
213 文件 状态 回复 426 结束 连接 
214 帮助 信息 回复 450 文件 不 可 用 
215 系统 类 型 回复 451 遇 到 本 地 错误 
220 服务 就 绪 452 磁盘 空间 不 足 
221 退出 网 络 500 无 效 命令 
225 打开 数据 连接 501 错误 参数 
226 结束 数据 连接 502 命令 没有 执行 
227 进入 被 动 模式 (IP 地 址 .ID 端口 ) 503 错误 指令 序列 
230 登录 因特网 504 无 效 命令 参数 


3. 匿名 FTP 机 制 


匿名 FTP 是 Internet 网 上 发 布 软件 和 其 他 信息 内 容 的 常用 方法 。 远 程 主机 建立 了 名 
为 anonymous 的 用 户 特 殊 ID, 这 样 Internet 上 的 任何 人 在 任何 地 方 都 可 使 用 该 用 户 ID 下 
载 文件 ,而 无 须 成 为 其 注册 用 户 。 

匿名 FTP 主机 的 连接 使 用 方式 同 连接 普通 FTP 主机 的 方式 差不多 ,只 是 在 要 求 提供 
用 户 标 识 ID 时 必须 输入 anonymous, 其 口令 可 以 是 客户 自己 喜欢 的 任意 字符 串 。 

当 远 程 主机 提供 匿名 FTP 服务 时 ,会 指定 某 些 目 录 向 公众 开放 ,允许 匿名 存 取 。 系 统 
中 的 其 余 目 录 则 处 于 隐匿 状态 。 作 为 一 种 安全 措施 ,大 多 数 匿名 FTP 主机 都 允许 用 户 从 其 
下 载 文 件 , 而 不 允许 用 户 向 其 上 传 文件 。 


8.4.2 FTP 报 文 实例 


下 面 通过 Wireshark 捕获 的 FTP 服务 通信 的 报 文 实例 ,进一步 了 解 FTP 的 工作 过 程 
和 报 文 结构 。 

FTP 客户 发 起 对 FTP 服务 器 的 访问 时 ,首先 需要 对 服务 器 的 TCP 端口 21 建立 TCP 
连接 ,图 8-16 包 列 表 窗 格 里 能 够 看 到 TCP 三 次 握手 建立 连接 的 报 文 。FTP 控制 连接 建立 
后 ,FTP 服务 器 首先 发 回 一 个 FTP 响应 报 文 , 报 文 的 内 容 就 是 一 个 响应 码 (220) 和 服务 器 
版 本 提示 字符 串 ,表示 服务 就 绪 。 
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El Vew Go Go rne Satsos Tokohony Toos Ptemas Heb 
Time Protocol Length Inio 














| Transmission control prorocol, src port: ftp (21), Ost Port: 57745 (57745), Seq: 1, Ack: 1, Len: 20 
Source port: ftp (21) 
Destination port: 57745 (57745) 
[srream index: 0] 
Sequence number: 1 (relative sequence number) 
[Next sequence number: 21 (relative sequence number)] 
Acknowledgment number: 1 (relative ack number) 
Header length: 20 bytes 
a Flags: 0x018 (PSH, ACK) 
window size value: 92 
[calculated window size: 5888] 
[window size scaling factor: 64] 
加 Checksum: Ox9248 [validarion disabled] 
[SEQ/ACK analysis] 
日 File Transfer prorocol (FTP) 
日 220 (vsFTPd 2.0,5)\r\n 
Response code: Service ready for new user (220) 
Response arg: (vsFTPd 











图 8-16 FTP 响应 报 文 实例 


接着 ,FTP 客户 发 出 命令 报 文 如 图 8-17 所 示 。 可 以 看 到 ,通信 仍然 在 服务 器 TCP 端口 
1 进行 。FTP 客户 端 发 出 命令 是 USER ,输入 登录 用 户 名 。 


Ee El Yew Go Capture Arayre Sbtshcs Telephony Toog jntemak Hep 
No Time Source Destination Protocol Length Info 


24 7.482659000 192.168.0.102 192.168.0.103 FT 65 Request; USER chen 





Transmission Control protocol, Src Port: 57745 (57745), Dst Port: ftp (21), Seq: 1, Ack: 21, Len: 11 

Source port: 57745 (57745) 
Destination port: ftp (21) 
[Stream index: 0] 
Sequence number: 1 (relative sequence nunber) 
[Next sequence number: 12 (relative sequence number)] 
Acknowledgmenr number: 21 (relative ack nuaber) 
Header length: 20 bytes 

加 Flags: OxO18 (PSH, ACK) 
Window size value: 2043 
[calculated window size: 8172] 
[window size scaling factor: 4] 


a Checksum: Ox8243 [validation disabled] 
加 [SEQ/ACK analysis] 

日 FiTe Transfer Prorocol (FTP) 
目 USER_chenNr 








图 8-17 FTP 命令 报 文 实例 


接 下 来 ,在 输入 口令 验证 通过 后 ,将 出 现 FTP 命令 提示 界面 ,这 时 可 以 输入 FTP 命令 
传送 文件 。 如 果 有 文件 传输 要 求 ,就 会 在 客户 和 服务 器 之 间 建 立 起 一 个 新 的 TCP 连接 , 服 
务 器 使 用 TCP 端口 20 来 传输 数据 。 图 8-18 是 传送 文件 的 报 文 实例 。 

注意 观察 图 8-18 中 Wireshark 把 报 文 解析 为 FTP-DATA, 服 务 器 端口 为 20。 加 亮 部 
分 为 传送 的 列 目录 命令 返回 的 数据 。 可 以 看 到 ,这 时 传输 的 数据 是 直接 作为 TCP 数据 加 载 
到 TCP 段 数据 部 分 ,并 没有 应 用 层 的 其 他 报 文 结构 了 。 

更 完整 的 通信 过 程 和 其 他 FTP 通信 报 文 , 请 读者 结合 本 章 实 验 作 进一步 学 习 。 








Transms510n CONtroOl Protocol, SrC Port: Ttp-data CU), Dst Port: 37746 (37746), Seq: 1, AcK: 1, Len: 93 
Source port: frp-dara (20) 
Destination port: 57746 (57746) 








(relative sequence number) 
(relative sequence number)] 
(relative ack number) 


® Flags: Oe01s (pn, 人 内 

window size value: 
[en stad indew size: 888] 
[window size scaling factor: 64] 

Checksum: Ox91ab [validation disabled] 

国 0prions: (12 bytes), No-Operation (NOP), No-Operation (NOP), Timestamps 
[SEQ/ACK analysis] 

PrP Data (93 byres dara) 








TREE 


08 0a 00 44 dc fa 00 





图 8-18 FTP 传输 文件 实例 


(1) TCP 提供 面向 连接 的 、 可 靠 的 字 节 流 服务 。 尽 管 会 增加 连接 、 差 错 与 流量 控制 等 
开销 ,但 TCP 确保 了 在 网 络 中 正确 地 传输 数据 ,适合 传输 大 量 数据 及 要 求 可 靠 交 付 的 应 用 。 

(2) TCP 段 数据 由 TCP 自首 部 和 TCP 数据 部 分 组 成 , 段 首部 由 20 字 节 的 定 长 部 分 和 
0 一 40 字 节 的 变 长 部 分 构成 。TCP 段 首部 中 的 各 个 字段 在 TCP 的 可 靠 通信 中 有 着 重要 的 
作用 ,TCP 选项 则 最 常用 于 连接 时 确定 MSS 和 通信 中 调整 窗口 大 小 。 

(3) TCP 在 建立 连接 时 ,采用 三 次 握手 方法 解决 重复 连接 的 问题 ,在 拆除 连接 时 采用 
四 次 握手 方法 解决 数据 丢失 问题 。 

(4) Telnet 程序 是 Internet 上 常用 的 远程 登录 工具 ,使 用 TCP 端口 23, 其 协议 工作 过 
程 采用 了 选项 协商 的 方式 ,Telnet 采用 的 NVT ASCII 字符 集 也 用 在 其 他 的 网 络 应 用 中 。 

(5) HTTP 协议 是 Internet 上 最 广泛 使 用 的 WWW 服务 采用 的 协议 。 浏 览 器 向 服务 
器 发 送 请 求 , 服 务 器 回 送 超 文 本 形式 的 响应 ,客户 和 服务 器 之 间 采 用 请 求 /响应 模式 。 

(6) HTTP 报 文 用 请 求 行 或 状态 行 指示 本 报 文 是 请 求 报 文 还 是 响应 报 文 。 请 求 报 文中 
用 请 求 方法 标明 报 文 的 操作 要 求 ,GET、HEAD、POST 是 最 常用 的 方法 。 响 应 报 文 用 状态 
码 说 明 响应 的 特征 。 响 应 报 文 的 信息 体 则 是 服务 器 返回 的 超 文本 的 页 面 内 容 。 

(7) FTP 提供 在 网 络 上 把 一 个 完整 的 文件 从 一 个 系统 中 复制 到 另 一 个 系统 中 ,并 且 屏 
蔽 了 不 同 主机 中 文件 系统 的 差异 。FTP 采用 客户 -服务 器 模式 ,在 客户 和 服务 器 之 间 需 要 
建立 两 个 TCP 连接 ,传输 控制 信息 的 控制 连接 使 用 TCP 端口 21 ,传递 文件 数据 的 数据 连 
接 使 用 TCP 端口 20。 

(8) FTP 传输 时 要 明确 文件 类 型 .数据 结构 和 传输 方式 。FTP 通过 命令 和 响应 的 交互 
来 完成 控制 信息 的 传递 ,命令 和 响应 码 都 采用 NVT ASCII 码 。 控 制 连接 在 整个 FTP 通信 
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过 程 中 都 维持 ,而 数据 连接 则 可 以 在 数据 传输 时 才 建 立 ,并 在 数据 传输 完成 后 立即 拆除 。 


6.6 习题 


1. 在 已 经 学 习 的 几 种 分 组 格式 IP、ICMP、UDP 和 TCP 中 ,每 一 种 格式 的 首部 中 均 包 
含 一 个 校 验 和 。 对 每 种 分 组 ,说 明 校 验 和 包括 IP 数据 报 中 的 哪些 部 分 ,以 及 该 校 验 和 是 强 
制 的 还 是 可 选 的 。 

2. 查找 资料 ,了 解 并 说 明 Telnet 的 单字 符 方式 .一 次 一 行 方式 和 行 方式 的 特点 和 
用 法 。 

3. Telnet 只 支持 单 向 的 、 面 向 字 节 的 通信 ,这 个 说 法 正确 吗 ? 

4. FTP 传输 过 程 中 账户 名 称 和 口令 是 明文 传输 的 吗 ? 请 通过 实验 说 明 。 


实验 


实验 8-1 Telnet 程序 和 TCP 连接 分 析 
1. 实验 说 明 


在 真实 网 络 环境 中 ,捕获 TCP 连接 建立 和 拆除 的 报 文 ,掌握 TCP 报 文 的 构成 和 协议 工 
作 原 理 ; 使 用 Telnet 程序 访问 真实 网 站 ,理解 Telnet 报 文 的 构成 ,掌握 Telnet 协议 的 工作 
过 程 。 


2. 实验 环境 
Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 Internet) ,安装 有 Wireshark 1. 10。 
3. 实验 步骤 


步骤 1 启动 Wireshark 在 本 地 接口 抓 包 , 显 示 过 滤器 设置 为 “tcp. port 二 二 23”, 即 只 
捕获 Telnet 相关 的 报 文 。 下 面 以 访问 南京 大 学 的 BBS 小 百合 网 站 为 例 ( 实 验 时 可 以 选择 其 
他 站 点 ,也 可 以 自己 架设 Telnet 服务 器 来 完成 实验 ) 。 

步骤 2 在 Windows 下 运行 如 下 命令 。 


C:\> telnet bbs. nju. edu. cn 


观察 命令 输出 和 捕获 的 数据 包 。 可 以 看 到 ,Wireshark 立即 捕获 到 了 TCP 连接 建立 的 
3 个 报 文 ,另外 有 Telnet 相关 的 多 个 报 文 。 

仔细 分 析 TCP 连接 建立 的 三 次 握手 报 文 的 信息 ,注意 观察 TCP 标志 位 的 置 位 情况 、. 选 
项 的 项 目 和 内 容 ,TCP 序列 号 在 原始 报 文中 的 值 与 Wireshark 解析 的 相对 值 的 差异 。 

注意 分 析 客户 端 和 Telnet 服务 器 之 间 协 议 报 文 的 交互 情况 ,观察 Telnet 协商 选项 的 格 
式 和 内 容 , 理 解 其 工作 过 程 。 
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步骤 3 继续 在 Telnet 返回 的 界面 运行 命令 并 抓 包 ,输入 试用 账号 : 

请 输入 账号 (试用 请 输入 "guest" 注册 请 输入 "new") : guest 

观察 命令 输出 和 捕获 的 数据 包 , 注 意 观 察 抓 到 的 客户 端 输入 的 guest 几 个 字符 ,是 按 一 
次 一 字符 方式 传送 给 服务 器 ,并 且 服 务 器 又 送 还 客户 端 回 显 的 。 

步骤 4 再 次 在 Telnet 界面 操作 ,浏览 查看 BBS 内 容 , 观 察 命令 输出 和 捕获 的 数 
据 包 。 

步骤 5 在 BBS 界面 选择 G, 退 出 BBS, 按 Enter 键 退出 Telnet, 终 止 TCP 连接 。 观 察 
命令 输出 和 捕获 的 数据 包 。 

观察 TCP 连接 拆除 的 四 次 握手 数据 ,注意 各 个 报 文 的 标志 位 、 序 列 号 和 确认 号 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 获 取 的 TCP 连接 建立 和 拆除 报 文 ,掌握 
TCP 连接 建立 的 过 程 和 工作 特点 ; 分 析 Telnet 报 文 的 内 容 特 点 ,掌握 Telnet 协议 的 工作 
过 程 。 


实验 8-2 HTTP 协议 分 析 

1. 实验 说 明 

通过 在 真实 网 络 环境 访问 HTTP 服务 器 上 网 的 过 程 中 ,捕获 HTTP 数据 报 文 ,分 析 报 
文 的 内 容 ,掌握 HTTP 报 文 的 构成 ,理解 HTTP 协议 的 工作 过 程 。 

2. 实验 环境 

Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 Internet) ,安装 有 Wireshark 1. 10。 

3. 实验 步骤 


步骤 1 为 便于 观察 抓 包 , 先 在 Windows 下 运行 ping 命令 ,查看 所 要 访问 的 Web 站 点 
的 地 址 信息 。 下 面 以 中 国 协议 分 析 网 网 站 为 例 (实验 时 可 以 选择 其 他 站 点 )。 运 行 如 下 
命令 。 

C:\> ping www. cnpaf. net 


观察 输出 的 信息 , 记 下 网 站 的 IP 地 址 ,此 处 为 123. 56. 44. 131 。 
步骤 2 启动 Wireshark 在 本 地 接口 抓 包 ,显示 过 滤器 如 下 设置 。 


(tcp or http) and ip.addr == 123.56.44.131 


即 只 捕获 访问 上 述 站 点 的 TCP 和 HTTP 报 文 。 

步骤 3 在 Windows 下 运行 浏览 器 ,地 址 栏 输入 "www. cnpaf. net” 后 连接 网 站 。 为 便 
于 观察 ,不 要 用 浏览 器 预 置 的 导航 站 点 。 

观察 捕获 的 数据 包 。 注 意 在 TCP 三 次 握手 完成 连接 后 的 客户 端的 第 一 个 HTTP GET 
报 文 。 仔 细 阅 读 并 分 析 报 文 内 容 。 


193 


NA 


194 


™V 


TCP/IP 协 议 分 析 教 程 与 实验 


服务 器 响应 报 文 要 传输 的 字 节 数 一 般 都 较 大 ,因此 需要 多 个 TCP 报 文 段 才能 够 传输 完 
成 首页 的 内 容 , 因 此 捕获 的 报 文 可 能 有 TCP segment of a reassembled PDU 的 提示 。 同 时 
Wireshark 为 使 用 者 查看 方便 ,在 GET 报 文 的 末尾 有 response in frame xxx 的 提示 ,可 以 
很 容易 地 查看 到 对 应 的 HTTP 响应 报 文 。 仔 细 分 析 收 到 的 HTTP 响应 报 文 的 内 容 。 

另外 , Wireshark 在 GET 报 文 里 还 提示 了 捕获 到 的 下 一 个 请 求 报 文 的 编号 ,可 以 很 容 
易 地 查看 接 下 来 的 HTTP 传输 内 容 。 

步骤 4 在 捕获 的 报 文中 ,会 发 现在 HTTP 传输 的 过 程 中 又 出 现 了 多 个 新 的 TCP 连接 
握手 信号 和 传输 内 容 , 目 标 是 同一 个 地 址 和 端口 ,但 本 地 端口 却 不 同 。 报 文中 有 stream 
index 的 值 不 同 。 

选择 第 一 个 GET 报 文 , 单 击 Wireshark 的 工具 栏 Analyze/Follow TCP Stream, 观 察 
弹出 的 窗口 里 显示 的 这 个 TCP 流 的 通信 内 容 和 报 文 的 关系 。 

步骤 5 单 击 浏览 器 “刷新 "按钮 ,继续 Wireshark 抓 包 , 观 察 捕获 的 数据 包 的 变化 。 

步骤 6 关闭 网 页 ,观察 捕获 的 数据 包 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 获取 的 TCP 和 HTTP 报 文 ,理解 常见 的 
HTTP 报 文 的 内 容 特 点 ,掌握 HTTP 协议 的 工作 过 程 。 


5, 思考 


(1) 进一步 在 网 页 上 做 多 种 操作 ,比如 提交 表单 内 容 , 观 察 POST 方法 的 报 文 ,尝试 对 
捕获 的 数据 包 进行 分 析 。 

(2) 了 解 学 习 浏 览 器 关于 TCP 流通 信 的 工作 机 制 ,尝试 在 实际 网 页 的 访问 过 程 中 捕获 
相应 的 数据 包 并 进行 分 析 。 

实验 8-3 FTP 协议 分 析 

1. 实验 说 明 


通过 在 真实 网 络 环境 访问 FTP 服务 器 的 过 程 中 捕获 FTP 数据 报 文 ,分 析 报 文 的 内 容 ， 
理解 FTP 报 文 的 构成 和 FTP 协议 的 工作 过 程 。 


2. 实验 环境 


Windows 操作 系统 及 网 络 环境 (主机 有 以 太 网 卡 并 连接 Internet) ,安装 有 Wireshark 
110; 


3. 实验 步骤 


步骤 1 为 便于 观察 抓 包 , 先 在 Windows 下 运行 ping 命令 ,查看 所 要 访问 的 FTP 站 点 
的 地 址 信息 。 下 面 以 访问 戴尔 公司 的 FTP 网 站 为 例 ( 实 验 时 可 以 选择 其 他 站 点 ,也 可 以 自 
己 架 设 FTP 站 点 来 完成 实验 ) 。 


C:\> ping ftp. dell. com 
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观察 输出 的 信息 , 记 下 网 站 的 IP 地 址 ,此 处 为 143. 166. 147. 76。 
步骤 2 启动 Wireshark 在 本 地 接口 抓 包 ,显示 过 滤器 如 下 设置 。 


(tcp or ftp) and ip.addr == 143.166.147.76 

即 只 捕获 访问 上 述 站 点 的 TCP 和 FTP 报 文 。 

步骤 3 在 Windows 里 打开 命令 窗口 ,输入 如 下 命令 。 

C:\> ftp 143.166.147.76 

观察 命令 输出 和 捕获 的 数据 包 。 注 意 在 TCP 三 次 握手 完成 连接 后 服务 器 发 回 的 第 一 


个 FTP 响应 报 文 。 仔 细 阅 读 并 分 析 报 文 内 容 ,注意 协议 使 用 的 端口 号 。 

步骤 4 以 匿名 方式 登录 ,继续 在 命令 窗口 输入 如 下 命令 。 

用 户 (143.166.147.76:(none)):anonymous 

输入 口令 处 直接 按 Enter 键 ,连接 到 FTP 服务 器 上 。 

仔细 观察 客户 端 和 服务 器 之 间 的 通信 报 文 ,注意 输入 信息 在 报 文中 的 传输 ,特别 是 
FTP 请 求 命令 和 应 答 代 码 的 内 容 。 

步骤 5 在 FTP 命令 提示 符 下 执行 命令 ,查看 或 下 载 文件 。 观 察 捕获 的 报 文 的 内 容 随 
操作 变化 的 情况 。 注 意 数据 传输 使 用 的 端口 号 。 

步骤 6 退出 FTP 服务 。 观 察 捕获 的 报 文 内 容 。 


4. 实验 报告 


记录 自己 的 实验 过 程 和 实验 结果 ,分 析 实 验 获 取 的 TCP 和 FTP 报 文 ,理解 常见 的 FTP 
报 文 的 内 容 特点 ,掌握 FTP 协议 的 工作 过 程 。 


5. 思考 


(1) FTP 有 不 同 的 传输 模式 ,如 何在 实验 中 观察 到 传输 模式 对 数据 的 不 同 影响 ? 
(2) 用 已 有 的 账号 登录 FTP 服务 器 时 ,口令 的 传输 安全 么 ? 设法 观察 说 明 。 





Cisco 常 用 命令 


为 方便 读者 使 用 Cisco Packet Tracer 进行 实验 ,这 里 给 出 了 Cisco 路 由 器 和 交换 机 常 
用 的 部 分 命令 。 如 需要 更 详细 地 了 解 Cisco 设备 的 配置 使 用 ,请 参考 有 关 资 料 。 


1. 基本 命令 


1) 模式 转换 命令 
Cisco 设备 的 配置 使 用 首先 需要 选择 合适 的 操作 模式 ,有 以 下 几 种 模式 。 
。 用 户 模式 : 查看 初始 化 的 信息 。 
。 特权 模式 : 查看 所 有 信息 ,调试 .保存 配置 信息 。 
。 全 局 模式 : 配置 所 有 信息 针对 整个 路 由 器 或 交换 机 的 所 有 接口 。 
。 接口 模式 : 针对 某 一 个 接口 的 配置 。 
。 线 控 模 式 : 对 路 由 器 进行 控制 的 接口 配置 。 
表 A-1 给 出 了 Cisco 设备 配置 使 用 的 模式 转换 命令 。 
表 A-1 模式 转换 命令 





命 令 功能 描述 
enable 从 用 户 模 式 切换 到 特权 模式 
config terminal 在 特权 模式 下 运行 全 局 配置 模式 
interface 接口 类 型 接口 号 从 全 局 配置 模式 切换 到 接口 模式 
line 接口 类 型 接口 号 从 全 局 配置 模式 切换 到 线 控 模式 
2) 配置 命令 


表 A-2 给 出 了 常用 的 基本 配置 命令 。 
表 A-2 基本 配置 命令 





命 令 功能 描述 
show running-config 显示 所 有 的 配置 
show version 显示 版 本 号 和 寄存 器 值 
shut down 关闭 接口 
no shutdown 打开 接口 
ip add IP 地 址 配置 IP 地 址 
secondary IP 地 址 为 接口 配置 第 二 个 IP 地 址 


show interface 接口 类 型 接口 号 查看 接口 管理 性 
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续 表 
命 李 功能 描述 
show controllers interface 查看 接口 是 否 有 DCE 电缆 
show history 查看 历史 记录 
show terminal 查看 终端 记录 大 小 
hostname 主机 名 配置 路 由 器 或 交换 机 的 标识 
config memory 修改 保存 在 NVRAM 中 的 启动 配置 
exec timeout 0 0 设置 控制 台 会 话 超时 为 0(0 分 0 秒 ) 
service password-encryption 手工 加 密 所 有 密码 
enable password 密码 配置 明文 密码 
ena sec 密码 配置 密 文 密码 
line vty 0 4/15 进入 telnet 接口 
password 密码 配置 telnet 密码 
line aux 0 进入 AUX 接口 
password 密码 配置 密码 
line con 0 进入 CON 接口 
password 密码 配置 密码 
bandwidth 数字 配置 带宽 
no ip address 删除 已 配置 的 IP 地址 
show startup-config 查看 NVRAM 中 的 配置 信息 
copy running-config startup-config 保存 信息 到 NVRAM 
write 写 信息 
erase startup-config 清除 NVRAM 中 的 配置 信息 
show ip interface brief 查看 接口 的 摘要 信息 
banner motd # 信 息 # 配置 路 由 器 或 交换 机 的 描述 信息 
description 信息 配置 接口 的 描述 信息 
vlan database 进入 VLAN 数据 库 模 式 
vlan vlan 号 名 称 创建 VLAN 
switchport access vlan vlan 号 为 VLAN 分 配 接口 


interface vlan vlan 号 

ip add ip 地 址 

vtp service/transparent/client 
vtp domain 域名 

vtp password 密码 
switchport mode trunk 

no vlan vlan 号 


show spanning-tree vlan vlan 号 


进入 VLAN 接口 模式 

为 VLAN 配置 管理 IP 地 址 
配置 SW 的 VTP 工作 模式 
配置 SW 的 VTP 域名 

配置 SW 的 密码 

启用 中 继 

删除 VLAN 

查看 VLAN 生成 树 协 议 
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2. 路 由 器 配置 命令 


用 于 路 由 器 配置 的 命令 如 表 A-3 所 示 。 
表 A-3 路 由 器 配置 命令 





命 令 功能 描述 
ip route 非 直 连 网 段 子 网 掩 码 下 一 跳 地 址 配置 静态 /默认 路 由 
show ip route 查看 路 由 表 
router rip 激活 RIP 协议 
network 直 连 网 段 发 布 直 连 网 段 
interface loopback 0 激活 环 回 接口 
passive-interface 接口 类 型 接口 号 配置 接口 为 被 动 模式 
debug ip 协议 动态 查看 路 由 更 新 信息 
undebug all 关闭 所 有 DEBUG 信息 
router eigrp AS 号 激活 EIGRP 路 由 协议 
network 网 段 子 网 掩 码 发 布 直 连 网 段 
show ip eigrp neighbors 查看 邻居 表 
show ip eigrp topology 查看 拓扑 表 
show ip eigrp traffic 查看 发 送 包 数量 
router ospf process-ID 激活 OSPF 协议 
network 直 连 网 段 area 区 域 号 发 布 直 连 网 段 
show ip ospf 显示 OSPF 的 进程 号 和 ROUTER-ID 
encapsulation 封装 格式 更 改 封 装 格式 
no ip admain-lookup 关闭 路 由 器 的 域名 查找 
no ip route IP 地 址 掩 码 删除 指定 路 由 
ip routing 在 三 层 交换 机 上 启用 路 由 功能 
show user 查看 在 线 用 户 
clear line 线路 号 清除 线路 


3., 三 层 交 换 机 配置 命令 


三 层 交 换 机 的 配置 有 基本 的 端口 配置 命令 `VLAN 配置 有 关 命 令 , 如 表 A-4 所 示 。 
表 A-4 三 层 交 换 机 配置 命令 
命 令 功能 描述 





进入 配置 状态 
进入 组 配置 状态 
interface {{ fastethernet | gigabitethernet) 进入 端口 配置 状态 
interface-id} | {vlan vlan-id} | {port-channel 


configure terminal 


interface range 


port-channel-number} 

把 物理 端口 变 成 三 层 口 
ip address ip_address subnet_mask 配置 IP 地 址 和 掩 码 

no shutdown 激活 端口 


no switchport 
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续 表 
功能 描述 





vlan vlan-id 


name vlan-name 


mtu mtu-size 

interface interface-id 

switchport mode access 

switchport access vlan vlan-id 

switchport trunk encapsulation {isl | dotlq | 
negotiate} 

switchport mode {dynamic {auto | desirable} 
| trunk} 

dynamic auto 


dynamic desirable 


switchport access vlan vlan-id 

switchport trunk native vlan vlan-id 
switchport trunk allowed vlan {add | all | 
except | remove} vlan-list 


no switchport trunk allowed vlan 


输入 一 个 VLAN 号 以 对 新 建 VLAN 或 已 有 VLAN 进行 
配置 

输入 一 个 VLAN 名 (可 选 )。 如 果 没 有 配置 VLAN 名 , 缺 
省 的 名 字 是 VLAN 号 前 面 用 0 填 满 的 4 位 数 ,如 
VLAN0004 是 VLAN4 的 缺 省 名 字 

改变 MTU 大 小 

进入 要 分 配 的 端口 

定义 二 层 端口 

把 端口 分 配给 某 一 VLAN 

配置 trunk 封装 ISL 或 802. 1Q 或 自动 协商 


配置 二 层 trunk 模式 


自动 协商 是 否 成 为 trunk 

主动 与 对 端 协商 成 为 Trunk 接口 的 可 能 性 ,如 果 邻 居 接 口 
模式 为 Trunk/desirable/auto 之 一 , 则 接口 将 变 成 trunk 
接口 工作 。 如 果 不 能 形成 trunk 模式 , 则 工作 在 access 模 
式 。 是 交换 机 的 默认 模式 

指定 一 个 缺 省 VLAN, 如 果 此 端口 不 再 是 trunk 

指定 802. 1Q native VLAN 号 

配置 trunk 允许 的 VLAN 


允许 所 有 VLAN 通过 
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也 请 您 发 邮件 告诉 我 们 , 以便 我 们 更 好 地 为 您 服务 






























































我 们 的 联系 方式 : 
地 址 : 北京 海淀 区 双 清 路 学 研 大 厦 A 座 707 





邮 编 : 100084 


电 话 : 010 一 62770175 一 4604 





资源 下 载 : http://www.tup.com. cn 三 要 要 
资源 下 载 、 样 书 申 请 


邮件 : weijj@tup. tsinghua. edu. 
We Optsinghua oe. 新 书 推荐 ,技术 交流 


QQ: 883604( 请 写 明 您 的 单位 和 姓名 ) 
用 微 信 扫 一 扫 右 边 的 二 维 码 , 即 可 关注 清华 大 学 出 版 社 公 众 号 “ 书 圈 ”。 


